Integrazione della sicurezza hardware

Per inizializzare il modulo di sicurezza hardware

• Inizializza un token PKCS #11 nell'HSM e salva l'ID dello slot e il PIN utente relativi al token. Consulta la documentazione del tuo HSM per scoprire come inizializzare un token. L'ID dello slot e il PIN utente verranno utilizzati successivamente quando si distribuisce e si configura il componente del provider PKCS #11.

Per aggiornare la configurazione sul dispositivo principale per utilizzare la sicurezza hardware

1. Arresta il software AWS IoT Greengrass Core. Se hai configurato il software AWS IoT Greengrass Core come servizio di sistema con systemd, puoi eseguire il seguente comando per arrestare il software.

   sudo systemctl stop greengrass.service

2. Trova la chiave privata e i file di certificato del dispositivo principale.

   • Se hai installato il software AWS IoT Greengrass Core con provisioning automatico o fleet provisioning, la chiave privata esiste in/greengrass/v2/privKey.key, e il certificato esiste in. /greengrass/v2/thingCert.crt

   • Se hai installato il software AWS IoT Greengrass Core con il provisioning manuale, la chiave privata esiste /greengrass/v2/private.pem.key per impostazione predefinita e il certificato esiste per impostazione predefinita. /greengrass/v2/device.pem.crt

   Puoi anche controllare le system.certificateFilePath proprietà system.privateKeyPath and /greengrass/v2/config/effectiveConfig.yaml per trovare la posizione di questi file.

3. Importa la chiave privata e il certificato nell'HSM. Consulta la documentazione del tuo HSM per scoprire come importare chiavi private e certificati al suo interno. Importa la chiave privata e il certificato utilizzando l'ID dello slot e il PIN utente su cui hai inizializzato in precedenza il token PKCS #11. È necessario utilizzare la stessa etichetta dell'oggetto e lo stesso ID dell'oggetto per la chiave privata e il certificato. Salvate l'etichetta dell'oggetto che specificate quando importate ogni file. Questa etichetta viene utilizzata successivamente quando si aggiorna la configurazione del software AWS IoT Greengrass Core per utilizzare la chiave privata e il certificato nell'HSM.

4. Aggiorna la configurazione AWS IoT Greengrass Core per utilizzare la chiave privata e il certificato nell'HSM. Per aggiornare la configurazione, modificate il file di configurazione AWS IoT Greengrass Core ed eseguite il software AWS IoT Greengrass Core con il file di configurazione aggiornato per applicare la nuova configurazione.

   Esegui questa operazione:

   1. Create un backup del file di configurazione AWS IoT Greengrass Core. Puoi utilizzare questo backup per ripristinare il dispositivo principale in caso di problemi durante la configurazione della sicurezza hardware.

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. Apri il file di configurazione AWS IoT Greengrass Core in un editor di testo. Ad esempio, è possibile eseguire il comando seguente per utilizzare GNU nano per modificare il file. Sostituisci /greengrass/v2 con il percorso della cartella principale di Greengrass.

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. Sostituisci il valore di system.privateKeyPath con l'URI PKCS #11 per la chiave privata nell'HSM. Sostituisci iotdevicekey con l'etichetta dell'oggetto in cui hai importato in precedenza la chiave privata e il certificato.

      pkcs11:object=iotdevicekey;type=private

   4. Sostituisci il valore di system.certificateFilePath con l'URI PKCS #11 per il certificato nell'HSM. Sostituisci iotdevicekey con l'etichetta dell'oggetto in cui hai importato in precedenza la chiave privata e il certificato.

      pkcs11:object=iotdevicekey;type=cert

   Dopo aver completato questi passaggi, la system proprietà nel file di configurazione AWS IoT Greengrass Core dovrebbe essere simile all'esempio seguente.

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. Applica la configurazione nel effectiveConfig.yaml file aggiornato. Esegui Greengrass.jar con il --init-config parametro in cui applicare la configurazioneeffectiveConfig.yaml. Sostituisci /greengrass/v2 con il percorso della cartella principale di Greengrass.

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. Avvia il software AWS IoT Greengrass Core. Se hai configurato il software AWS IoT Greengrass Core come servizio di sistema con systemd, puoi eseguire il seguente comando per avviare il software.

   sudo systemctl start greengrass.service

   Per ulteriori informazioni, consulta Esegui il software AWS IoT Greengrass Core.

7. Controlla i registri del software AWS IoT Greengrass Core per verificare che il software si avvii e si connetta a. Cloud AWS Il software AWS IoT Greengrass Core utilizza la chiave privata e il certificato per connettersi ai AWS IoT Greengrass servizi AWS IoT and.

   sudo tail -f /greengrass/v2/logs/greengrass.log

   I seguenti messaggi di registro a livello di informazioni indicano che il software AWS IoT Greengrass Core si connette correttamente ai servizi AWS IoT andAWS IoT Greengrass.

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (Facoltativo) Dopo aver verificato che il software AWS IoT Greengrass Core funzioni con la chiave privata e il certificato nell'HSM, eliminate la chiave privata e i file del certificato dal file system del dispositivo. Eseguite il comando seguente e sostituite i percorsi dei file con i percorsi della chiave privata e dei file dei certificati.

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt