하드웨어 보안 통합

하드웨어 보안 모듈 초기화

• HSM에서 PKCS#11 토큰을 초기화하고, 토큰의 슬롯 ID와 사용자 PIN을 저장합니다. HSM의 설명서를 확인하여 토큰을 초기화하는 방법을 알아보세요. 나중에 PKCS#11 공급자 구성 요소를 배포 및 구성할 때 슬롯 ID와 사용자 PIN을 사용합니다.

하드웨어 보안을 사용하도록 코어 디바이스의 구성 업데이트

1. AWS IoT Greengrass 코어 소프트웨어를 중지합니다. systemd를 사용하여 AWS IoT Greengrass 코어 소프트웨어를 시스템 서비스로 구성한 경우 다음 명령을 실행하여 소프트웨어를 중지할 수 있습니다.

   sudo systemctl stop greengrass.service

2. 코어 디바이스의 프라이빗 키 및 인증서 파일을 찾습니다.

   • 자동 프로비저닝 또는 플릿 프로비저닝을 사용하여 AWS IoT Greengrass 코어 소프트웨어를 설치한 경우 프라이빗 키는 /greengrass/v2/privKey.key에 있고, 인증서는 /greengrass/v2/thingCert.crt에 있습니다.

   • 수동 프로비저닝을 사용하여 AWS IoT Greengrass 코어 소프트웨어를 설치한 경우 프라이빗 키는 기본적으로 /greengrass/v2/private.pem.key에 있고, 인증서는 기본적으로 /greengrass/v2/device.pem.crt에 있습니다.

   /greengrass/v2/config/effectiveConfig.yaml의 system.privateKeyPath 및 system.certificateFilePath 속성을 확인하여 이러한 파일의 위치를 찾을 수도 있습니다.

3. 프라이빗 키와 인증서를 HSM으로 가져옵니다. 프라이빗 키와 인증서를 가져오는 방법을 알아보려면 HSM 설명서를 확인하세요. 앞서 PKCS#11 토큰을 초기화한 슬롯 ID와 사용자 PIN을 사용하여 프라이빗 키와 인증서를 가져옵니다. 프라이빗 키와 인증서에 동일한 객체 레이블과 객체 ID를 사용해야 합니다. 각 파일을 가져올 때 지정한 객체 레이블을 저장합니다. AWS IoT Greengrass 코어 소프트웨어 구성을 업데이트하여 HSM의 프라이빗 키와 인증서를 사용할 때 이 레이블을 사용합니다.

4. AWS IoT Greengrass 코어 구성을 업데이트하여 HSM의 프라이빗 키와 인증서를 사용합니다. 구성을 업데이트하려면 AWS IoT Greengrass 코어 구성 파일을 수정하고 업데이트된 구성 파일로 AWS IoT Greengrass 코어 소프트웨어를 실행하여 새 구성을 적용합니다.

   다음을 따릅니다.

   1. AWS IoT Greengrass 코어 구성 파일의 백업을 생성합니다. 하드웨어 보안을 구성할 때 문제가 발생하면 이 백업을 사용하여 코어 디바이스를 복원할 수 있습니다.

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. 텍스트 편집기에서 AWS IoT Greengrass 코어 구성 파일을 엽니다. 예를 들어 다음 명령을 실행하여 GNU nano를 사용해 파일을 편집할 수 있습니다. /greengrass/v2를 Greengrass 루트 폴더의 경로로 바꿉니다.

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. system.privateKeyPath의 값을 HSM의 프라이빗 키에 대한 PKCS#11 URI로 바꿉니다. iotdevicekey를 앞서 프라이빗 키와 인증서를 가져온 객체 레이블로 바꿉니다.

      pkcs11:object=iotdevicekey;type=private

   4. system.certificateFilePath의 값을 HSM의 인증서에 대한 PKCS#11 URI로 바꿉니다. iotdevicekey를 앞서 프라이빗 키와 인증서를 가져온 객체 레이블로 바꿉니다.

      pkcs11:object=iotdevicekey;type=cert

   이 단계를 완료한 후 AWS IoT Greengrass 코어 구성 파일의 system 속성은 다음 예제와 비슷해야 합니다.

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. 업데이트된 effectiveConfig.yaml 파일에 구성을 적용합니다. --init-config 파라미터로 Greengrass.jar을 실행하여 effectiveConfig.yaml에 구성을 적용합니다. /greengrass/v2를 Greengrass 루트 폴더의 경로로 바꿉니다.

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. AWS IoT Greengrass 코어 소프트웨어를 시작합니다. systemd를 사용하여 AWS IoT Greengrass 코어 소프트웨어를 시스템 서비스로 구성한 경우 다음 명령을 실행하여 소프트웨어를 시작할 수 있습니다.

   sudo systemctl start greengrass.service

   자세한 내용은 AWS IoT Greengrass 코어 소프트웨어 실행 단원을 참조하십시오.

7. AWS IoT Greengrass 코어 소프트웨어 로그를 확인하여 소프트웨어가 시작되고 AWS 클라우드에 연결되어 있는지 확인합니다. AWS IoT Greengrass 코어 소프트웨어는 프라이빗 키와 인증서를 사용하여 AWS IoT 및 AWS IoT Greengrass 서비스에 연결합니다.

   sudo tail -f /greengrass/v2/logs/greengrass.log

   다음 INFO 수준 로그 메시지는 AWS IoT Greengrass 코어 소프트웨어가 AWS IoT 및 AWS IoT Greengrass 서비스에 성공적으로 연결되었음을 나타냅니다.

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (선택 사항) AWS IoT Greengrass 코어 소프트웨어가 HSM의 프라이빗 키 및 인증서로 작동하는지 확인한 후 디바이스의 파일 시스템에서 프라이빗 키 및 인증서 파일을 삭제합니다. 다음 명령을 실행하고 파일 경로를 프라이빗 키 및 인증서 파일의 경로로 바꿉니다.

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt