View a markdown version of this page

Registra un certificato client quando il client si connette a AWS IoT registrazione just-in-time (JITR) - AWS IoT Core
Configurare un certificato CA per supportare la registrazione automatica (console)Configurare un certificato CA per supportare la registrazione automatica (CLI)Configurare la prima connessione da parte di un client per la registrazione automatica

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Registra un certificato client quando il client si connette a AWS IoT registrazione just-in-time (JITR)

È possibile configurare un certificato CA per abilitare la registrazione AWS IoT automatica dei certificati client con cui è stato firmato la prima volta che il client si connette. AWS IoT

Per registrare i certificati client quando un client si connette AWS IoT per la prima volta, è necessario abilitare il certificato CA per la registrazione automatica e configurare la prima connessione da parte del client per fornire i certificati richiesti.

Configurare un certificato CA per supportare la registrazione automatica (console)

Per configurare un certificato CA per supportare la registrazione automatica dei certificati client utilizzando AWS IoT console

  1. Accedere alla console AWS di gestione e aprire la AWS IoT console.

  2. Nel riquadro di navigazione di sinistra, scegliere Secure (Sicurezza), quindi CAs (CA).

  3. Nell'elenco delle autorità di certificazione individuare quella per cui si desidera abilitare la registrazione automatica e aprire il menu delle opzioni utilizzando l'icona con i puntini di sospensione.

  4. Scegliere Enable auto-registration (Abilita registrazione automatica)dal menu delle opzioni.

Nota

Lo stato della registrazione automatica non viene visualizzato nell'elenco delle autorità di certificazione. Per visualizzare lo stato di registrazione automatica di un'autorità di certificazione, è necessario aprire la pagina Details (Dettagli) dell'autorità di certificazione.

Configurare un certificato CA per supportare la registrazione automatica (CLI)

Se hai già registrato il tuo certificato CA AWS IoT, usa il update-ca-certificate comando su cui impostare autoRegistrationStatus il certificato CAENABLE.

aws iot update-ca-certificate \
--certificate-id caCertificateId \
--new-auto-registration-status ENABLE

Se si desidera abilitare autoRegistrationStatus quando si registra il certificato CA, utilizzare il comando register-ca-certificate.

aws iot register-ca-certificate \
--allow-auto-registration  \
--ca-certificate file://root_CA_cert_filename.pem \
--verification-cert file://verification_cert_filename.pem

Usare il comando describe-ca-certificate per visualizzare lo stato del certificato CA.

Configurare la prima connessione da parte di un client per la registrazione automatica

Quando un client tenta di connettersi AWS IoT per la prima volta, il certificato client firmato dal certificato CA deve essere presente sul client durante l'handshake Transport Layer Security (TLS).

Quando il client si connette a AWS IoT, utilizza il certificato client creato in Crea certificati AWS IoT client o Crea i tuoi certificati client. AWS IoT riconosce il certificato CA come certificato CA registrato, registra il certificato client e ne imposta lo stato su. PENDING_ACTIVATION Questo significa che il certificato client è stato automaticamente registrato ed è in attesa dell'attivazione. Lo stato del certificato client deve essere ACTIVE prima che possa essere utilizzato per connettersi ad AWS IoT. Vedi Attivare o disattivare un certificato client per informazioni sull'attivazione di un certificato client.

Nota

È possibile effettuare il provisioning dei dispositivi utilizzando la funzionalità di registrazione AWS IoT Core just-in-time (JITR) senza dover inviare l'intera catena di fiducia alla prima connessione dei dispositivi a. AWS IoT Core La presentazione del certificato emesso da una CA è facoltativa, ma il dispositivo è necessario per inviare l'estensione Server Name Indication (SNI) quando si collegano.

Quando registra AWS IoT automaticamente un certificato o quando un client presenta un certificato nello PENDING_ACTIVATION stato, AWS IoT pubblica un messaggio sul seguente argomento MQTT:

$aws/events/certificates/registered/caCertificateId

Dove caCertificateId è l'ID del certificato emesso da una CA che ha rilasciato il certificato client.

Il messaggio pubblicato in questo argomento ha la struttura seguente:

{
        "certificateId": "certificateId",
        "caCertificateId": "caCertificateId",
        "timestamp": timestamp,
        "certificateStatus": "PENDING_ACTIVATION",
        "awsAccountId": "awsAccountId",
        "certificateRegistrationTimestamp": "certificateRegistrationTimestamp"
}

Puoi creare una regola che resti in ascolto in questo argomento ed esegua alcune operazioni. Ti consigliamo di creare una regola Lambda che verifichi che il certificato client non sia incluso in un elenco di revoche di certificati (CRL), che attivi il certificato e crei e colleghi una policy a quest'ultimo. La policy determina le risorse cui il client può accedere. Se la policy che stai creando richiede l'ID client dei dispositivi di connessione, puoi utilizzare la funzione clientid () della regola per recuperare l'ID client. Un esempio di definizione di regola può essere simile alla seguente:

SELECT *,
   clientid() as clientid
from $aws/events/certificates/registered/caCertificateId

In questo esempio, la regola è sottoscritta all'argomento JITR $aws/events/certificates/registered/caCertificateID e utilizza la funzione clientid () per recuperare l'ID del cliente. La regola aggiunge quindi l'ID del client al payload JITR. Per ulteriori informazioni sulla funzione clientid () della regola, vedere clientid (). https://docs.aws.amazon.com//iot/latest/developerguide/iot-sql-functions.html#iot-sql-function-clientid

Per ulteriori informazioni su come creare una regola Lambda che resti in ascolto nell'argomento $aws/events/certificates/registered/caCertificateID ed esegua queste operazioni, consulta la sezione Registrazione just-in-time dei certificati client in AWS IoT.

Se si verifica un errore o un'eccezione durante la registrazione automatica dei certificati client, AWS IoT invia eventi o messaggi ai tuoi log in Logs. CloudWatch Per ulteriori informazioni sulla configurazione dei log per il tuo account, consulta la CloudWatch documentazione di Amazon.