Integração de segurança de hardware

Para inicializar o módulo de segurança de hardware

• Inicialize um token PKCS#11 no HSM e salve o ID do slot e o PIN do usuário para o token. Consulte a documentação do HSM para aprender a inicializar um token. Você usa o ID do slot e o PIN do usuário posteriormente ao implantar e configurar o componente provedor PKCS#11.

Para atualizar a configuração no dispositivo principal para usar a segurança de hardware

1. Pare o software AWS IoT Greengrass principal. Se você configurou o software AWS IoT Greengrass Core como um serviço do sistema com o systemd, você pode executar o comando a seguir para interromper o software.

   sudo systemctl stop greengrass.service

2. Localize a chave privada e os arquivos de certificado do dispositivo principal.

   • Se você instalou o software AWS IoT Greengrass Core com provisionamento automático ou provisionamento de frota, a chave privada existe em/greengrass/v2/privKey.key, e o certificado existe em. /greengrass/v2/thingCert.crt

   • Se você instalou o software AWS IoT Greengrass Core com provisionamento manual, a chave privada existe /greengrass/v2/private.pem.key por padrão e o certificado existe /greengrass/v2/device.pem.crt por padrão.

   Você também pode verificar as propriedades system.privateKeyPath e system.certificateFilePath no /greengrass/v2/config/effectiveConfig.yaml para encontrar a localização desses arquivos.

3. Importe a chave privada e o certificado para o HSM. Consulte a documentação do HSM para saber como importar chaves privadas e certificados para ele. Importe a chave privada e o certificado usando o ID do slot e o PIN do usuário em que você inicializou o token PKCS#11 anteriormente. Você deve usar o mesmo rótulo de objeto e ID de objeto para a chave privada e o certificado. Salve o rótulo do objeto que você especifica ao importar cada arquivo. Você usa esse rótulo posteriormente ao atualizar a configuração do software AWS IoT Greengrass principal para usar a chave privada e o certificado no HSM.

4. Atualize a configuração AWS IoT Greengrass principal para usar a chave privada e o certificado no HSM. Para atualizar a configuração, você modifica o arquivo de configuração AWS IoT Greengrass principal e executa o software AWS IoT Greengrass principal com o arquivo de configuração atualizado para aplicar a nova configuração.

   Faça o seguinte:

   1. Crie um backup do arquivo de configuração AWS IoT Greengrass principal. Você pode usar esse backup para restaurar o dispositivo principal se tiver problemas ao configurar a segurança do hardware.

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. Abra o arquivo de configuração AWS IoT Greengrass principal em um editor de texto. Por exemplo, você pode executar o seguinte comando para usar o GNU nano para editar o arquivo. Substitua /greengrass/v2 pelo caminho para a pasta raiz do Greengrass.

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. Substitua o valor do system.privateKeyPath pelo URI PKCS#11 para a chave privada no HSM. iotdevicekeySubstitua pelo rótulo do objeto em que você importou a chave privada e o certificado anteriormente.

      pkcs11:object=iotdevicekey;type=private

   4. Substitua o valor do system.certificateFilePath pelo URI PKCS#11 para o certificado no HSM. iotdevicekeySubstitua pelo rótulo do objeto em que você importou a chave privada e o certificado anteriormente.

      pkcs11:object=iotdevicekey;type=cert

   Depois de concluir essas etapas, a system propriedade no arquivo de configuração AWS IoT Greengrass principal deve ser semelhante ao exemplo a seguir.

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. Aplique a configuração no arquivo effectiveConfig.yaml atualizado. Execute Greengrass.jar com o parâmetro --init-config no qual aplicar a configuração em effectiveConfig.yaml. Substitua /greengrass/v2 pelo caminho para a pasta raiz do Greengrass.

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. Inicie o software AWS IoT Greengrass principal. Se você configurou o software AWS IoT Greengrass Core como um serviço do sistema com o systemd, você pode executar o comando a seguir para iniciar o software.

   sudo systemctl start greengrass.service

   Para obter mais informações, consulte Execute o software AWS IoT Greengrass Core.

7. Verifique os registros do software AWS IoT Greengrass principal para verificar se o software é iniciado e se conecta ao Nuvem AWS. O software AWS IoT Greengrass Core usa a chave privada e o certificado para se conectar aos AWS IoT Greengrass serviços AWS IoT e.

   sudo tail -f /greengrass/v2/logs/greengrass.log

   As seguintes mensagens de registro em nível de informação indicam que o software AWS IoT Greengrass Core se conecta com êxito aos serviços AWS IoT e. AWS IoT Greengrass

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (Opcional) Depois de verificar se o software AWS IoT Greengrass Core funciona com a chave privada e o certificado no HSM, exclua a chave privada e os arquivos do certificado do sistema de arquivos do dispositivo. Execute o comando a seguir e substitua os caminhos dos arquivos pelos caminhos para a chave privada e os arquivos de certificado.

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt