硬件安全性集成

初始化硬件安全模块

• 在 HSM 中初始化 PKCS#11 令牌，然后保存该令牌的槽 ID 和用户 PIN。查看 HSM 的文档，了解如何初始化令牌。稍后在部署和配置 PKCS#11 提供程序组件时，您将用到槽 ID 和用户 PIN。

更新核心设备上的配置以采用硬件安全性

1. 停止 AWS IoT Greengrass Core 软件。如果您使用 systemd 将 AWS IoT Greengrass Core 软件配置为系统服务，可以运行以下命令来停止该软件。

   sudo systemctl stop greengrass.service

2. 找到核心设备的私有密钥和证书文件。

   • 如果您通过自动预置或实例集预置安装 AWS IoT Greengrass Core 软件，则私有密钥在 /greengrass/v2/privKey.key 中，证书在 /greengrass/v2/thingCert.crt 中。

   • 如果您通过手动预置安装 AWS IoT Greengrass Core 软件，则私有密钥默认在 /greengrass/v2/private.pem.key 中，证书默认在 /greengrass/v2/device.pem.crt 中。

   您也可以在 /greengrass/v2/config/effectiveConfig.yaml 中查看 system.privateKeyPath 和 system.certificateFilePath 属性以查找这些文件的位置。

3. 将私有密钥和证书导入 HSM。查看 HSM 文档，了解如何导入私有密钥和证书。使用之前初始化 PKCS#11 令牌的槽 ID 和用户 PIN 导入私有密钥和证书。私有密钥和证书必须使用相同的对象标签和对象 ID。保存您在导入每个文件时指定的对象标签。稍后在更新 AWS IoT Greengrass Core 软件配置以使用 HSM 中的私有密钥和证书时将用到此标签。

4. 更新 AWS IoT Greengrass Core 软件配置以使用 HSM 中的私有密钥和证书。要更新配置，请修改 AWS IoT Greengrass Core 配置文件，然后使用更新的配置文件运行 AWS IoT Greengrass Core 软件以应用新配置。

   执行以下操作：

   1. 创建 AWS IoT Greengrass Core 配置文件备份。如果您在配置硬件安全性时遇到问题，可以使用此备份来恢复核心设备。

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. 在文本编辑器中打开 AWS IoT Greengrass Core 配置文件。例如，您可以运行以下命令来使用 GNU nano 编辑文件。将 /greengrass/v2 替换为 Greengrass 根文件夹的路径。

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. 将 system.privateKeyPath 的值替换为 HSM 中私有密钥的 PKCS#11 URI。将 iotdevicekey 替换为之前导入私有密钥和证书处的对象标签。

      pkcs11:object=iotdevicekey;type=private

   4. 将 system.certificateFilePath 的值替换为 HSM 中证书的 PKCS#11 URI。将 iotdevicekey 替换为之前导入私有密钥和证书处的对象标签。

      pkcs11:object=iotdevicekey;type=cert

   完成这些步骤后，AWS IoT Greengrass Core 配置文件中的 system 属性应与以下示例类似。

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. 在更新的 effectiveConfig.yaml 文件中应用配置。使用 --init-config 参数运行 Greengrass.jar 以在 effectiveConfig.yaml 中应用配置。将 /greengrass/v2 替换为 Greengrass 根文件夹的路径。

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. 启动 AWS IoT Greengrass Core 软件。如果您使用 systemd 将 AWS IoT Greengrass Core 软件配置为系统服务，可以运行以下命令来启动该软件。

   sudo systemctl start greengrass.service

   有关更多信息，请参阅 运行 AWS IoT Greengrass Core 软件。

7. 查看 AWS IoT Greengrass Core 软件日志，验证软件是否启动并连接到 AWS Cloud。AWS IoT Greengrass Core 软件使用私有密钥和证书来连接 AWS IoT 和 AWS IoT Greengrass 服务。

   sudo tail -f /greengrass/v2/logs/greengrass.log

   以下信息级别的日志消息表明 AWS IoT Greengrass Core 软件已成功连接 AWS IoT 和 AWS IoT Greengrass 服务。

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. （可选）在确认 AWS IoT Greengrass Core 软件可以使用 HSM 中的私有密钥和证书后，从设备文件系统中删除该私有密钥和证书文件。运行以下命令，并将文件路径替换为该私有密钥和证书文件的路径。

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt