模块 7：模拟硬件安全集成

切换到根用户。

sudo su

使用手册页面查找系统范围的 softhsm2.conf 位置。一个常见位置是 /etc/softhsm/softhsm2.conf，但在某些系统上，位置可能有所不同。

man softhsm2.conf

在系统范围的位置中为 softhsm2 配置文件创建目录。在本例中，我们假设位置为 /etc/softhsm/softhsm2.conf。

mkdir -p /etc/softhsm

在 /greengrass 目录中创建令牌目录。

mkdir -p /greengrass/softhsm2/tokens

配置令牌目录。

echo "directories.tokendir = /greengrass/softhsm2/tokens" > /etc/softhsm/softhsm2.conf

配置基于文件的后端。

echo "objectstore.backend = file" >> /etc/softhsm/softhsm2.conf

初始化 SoftHSM 令牌。

softhsm2-util --init-token --slot 0 --label greengrass --so-pin 12345 --pin 1234

softhsm2-util --init-token --free --label greengrass --so-pin 12345 --pin 1234

将私有密钥转换成 SoftHSM 导入工具可以使用的格式。在本教程中，您将转换从“入门”教程模块 2 中的默认组创建选项中获得的私钥。

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in hash.private.key -out hash.private.pem

将私有密钥导入 SoftHSM。只运行以下命令之一，具体取决于您的 softhsm2-util 版本。

此命令将插槽标识为 0，并将键标签定义为 iotkey。您将在下一节中使用这些值。

在您的系统上找到 SoftHSM 提供程序库 (libsofthsm2.so) 的路径：

1. 获取库的已安装程序包的列表。

   sudo dpkg -L libsofthsm2

   libsofthsm2.so 文件位于 softhsm 目录中。

2. 复制文件的完整路径（例如 /usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so）。您稍后会使用此值。

停止 Greengrass 守护程序。

cd /greengrass/ggc/core/
sudo ./greengrassd stop

打开 Greengrass 配置文件。这是位于 /greengrass/config 目录中的 config.json 文件。

在 crypto.principals 对象中，插入以下 MQTT 服务器证书对象。在需要的位置添加逗号以创建有效的 JSON 文件。

  "MQTTServerCertificate": {
    "privateKeyPath": "path-to-private-key"
  }

在 crypto 对象中，插入以下 PKCS11 对象。在需要的位置添加逗号以创建有效的 JSON 文件。

  "PKCS11": {
    "P11Provider": "/path-to-pkcs11-provider-so",
    "slotLabel": "crypto-token-name",
    "slotUserPin": "crypto-token-user-pin"
  }

您的文件应如下所示：

{
  "coreThing" : {
    "caPath" : "root.ca.pem",
    "certPath" : "hash.cert.pem",
    "keyPath" : "hash.private.key",
    "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
    "iotHost" : "host-prefix.iot.region.amazonaws.com",
    "ggHost" : "greengrass.iot.region.amazonaws.com",
    "keepAlive" : 600
  },
  "runtime" : {
    "cgroup" : {
      "useSystemd" : "yes"
    }
  },
  "managedRespawn" : false,
  "crypto": {
    "PKCS11": {
      "P11Provider": "/path-to-pkcs11-provider-so",
      "slotLabel": "crypto-token-name",
      "slotUserPin": "crypto-token-user-pin"
    },
    "principals" : {
      "MQTTServerCertificate": {
        "privateKeyPath": "path-to-private-key"
      },
      "IoTCertificate" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key",
        "certificatePath" : "file:///greengrass/certs/hash.cert.pem"
      },
      "SecretsManager" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key"
      }
    },    
    "caPath" : "file:///greengrass/certs/root.ca.pem"
  }
}

编辑 crypto 数据：

1. 配置 PKCS11 对象。

   • 对于 P11Provider，输入 libsofthsm2.so 的完整路径。

   • 对于 slotLabel，输入 greengrass。

   • 对于 slotUserPin，输入 1234。

2. 在 principals 对象中配置私有密钥路径。请勿编辑 certificatePath 属性。

   • 对于 privateKeyPath 属性，请输入以下 RFC 7512 PKCS#11 路径（指定键的标签）。对 IoTCertificate、SecretsManager 和 MQTTServerCertificate 委托人执行此操作。

     pkcs11:object=iotkey;type=private

3. 检查 crypto 对象。如下所示：

     "crypto": {
       "PKCS11": {
         "P11Provider": "/usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so",
         "slotLabel": "greengrass",
         "slotUserPin": "1234"
       },
       "principals": {
         "MQTTServerCertificate": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "SecretsManager": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "IoTCertificate": {
           "certificatePath": "file://certs/core.crt",
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         }
       },
       "caPath": "file://certs/root.ca.pem"
     }

从 coreThing 对象中删除 caPath、certPath 和 keyPath。如下所示：

"coreThing" : {
  "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
  "iotHost" : "host-prefix-ats.iot.region.amazonaws.com",
  "ggHost" : "greengrass-ats.iot.region.amazonaws.com",
  "keepAlive" : 600
}