Criar e provisionar dispositivos do IoT Edge em escala no Windows usando chaves simétricas

Aplica-se a: IoT Edge 1.1

Importante

O IoT Edge 1.1 data de término do suporte foi 13 de dezembro de 2022. Confira o Ciclo de Vida do Produto da Microsoft para obter informações sobre o suporte deste produto, serviço, tecnologia ou API. Para obter mais informações sobre como atualizar para a versão mais recente do IoT Edge, consulte Update IoT Edge.

Este artigo fornece instruções de ponta a ponta para o provisionamento automático de um ou mais dispositivos Windows IoT Edge usando chaves simétricas. Você pode provisionar automaticamente dispositivos do Azure IoT Edge com o serviço de provisionamento de dispositivos no Hub IoT do Azure (DPS). Se você não estiver familiarizado com o processo de provisionamento automático, reveja a visão geral de provisionamento antes de continuar.

Observação

Não haverá suporte para contêineres do Azure IoT Edge com Windows a partir da versão 1.2 do Azure IoT Edge.

Considere usar o novo método para executar o IoT Edge em dispositivos Windows, Azure IoT Edge para Linux no Windows.

Se você quiser usar o Azure IoT Edge para Linux no Windows, poderá seguir as etapas na guia de instruções equivalente.

As tarefas são as seguintes:

1. Crie um registro individual para um único dispositivo ou um registro de grupo para um conjunto de dispositivos.
2. Instale o runtime do IoT Edge e conecte ao Hub IoT.

O atestado de chave simétrica é uma abordagem simples para autenticar o dispositivo com uma instância do serviço de provisionamento de dispositivos. Esse método de atestado representa uma experiência de "Olá, Mundo" para desenvolvedores que são novos no provisionamento de dispositivos ou não tem requisitos de segurança rígidos. O atestado de dispositivo usando um TPM ou certificados X.509 é mais seguro e deve ser usado para requisitos de segurança mais rigorosos.

Pré-requisitos

Recursos de nuvem

• Um Hub IoT ativo
• Uma instância do Serviço de Provisionamento de Dispositivos no Hub IoT no Azure, vinculada ao seu hub IoT
  • Se você não tiver uma instância do Serviço de Provisionamento de Dispositivos, poderá seguir as instruções nas seções Criar um novo Serviço de Provisionamento de Dispositivos no Hub IoT e Vincular o Hub IoT e o Serviço de Provisionamento de Dispositivos do início rápido do Serviço de Provisionamento de Dispositivos no Hub IoT.
  • Depois que o Serviço de Provisionamento de Dispositivo estiver em execução, copie o valor do Escopo de ID da página de resumo. Você usa esse valor ao configurar o runtime do Azure IoT Edge.

Requisitos do dispositivo

Um dispositivo Windows físico ou virtual para ser o dispositivo IoT Edge.

Você precisará definir uma ID de registroexclusiva para identificar cada dispositivo. Você pode usar o endereço MAC, o número de série ou qualquer informação exclusiva do dispositivo. Por exemplo, você pode usar uma combinação de endereço MAC e número de série para formar a seguinte cadeia de caracteres da ID de registro: sn-007-888-abc-mac-a1-b2-c3-d4-e5-f6. São considerados válidos caracteres alfanuméricos minúsculos e traço (-).

Criar um registro de DPS

Crie um registro para provisionar um ou mais dispositivos por meio do DPS.

Se você quiser provisionar um único dispositivo IoT Edge, crie um registro individual. Se você precisar de vários dispositivos provisionados, siga as etapas para criar um registro de grupo do DPS.

Ao você criar uma inscrição no DPS, você tem a possibilidade de declarar um estado inicial do dispositivo gêmeo. No dispositivo gêmeo, você pode definir tags para agrupar dispositivos por qualquer métrica que precisar em sua solução, como região, ambiente, local ou tipo de dispositivo. Essas etiquetas são usadas para criar implantações automáticas.

Para saber mais sobre registros no serviço de provisionamento de dispositivos, confira Como gerenciar registros de dispositivo.

Registro individual

Criar um registro individual de DPS

Dica

As etapas neste artigo são para o portal do Microsoft Azure, mas também é possível criar registros individuais usando a CLI do Azure. Para obter mais informações, confira az iot dps enrollment. Como parte do comando da CLI, use o flag de edge-enabled para especificar que o registro é para um dispositivo IoT Edge.

1. No portal do Azure, navegue até sua instância do serviço de provisionamento de dispositivos no Hub IoT.

2. Em Configurações, selecione Gerenciar registros.

3. Selecione adicionar registro individual, em seguida, conclua as seguintes etapas para configurar o registro:

   1. Em Mecanismo, selecione Chave Simétrica.

   2. Forneça uma ID de registro exclusiva para o seu dispositivo.

   3. Opcionalmente, forneça uma ID de Dispositivo do Hub IoT para o seu dispositivo. Você pode usar IDs de dispositivo para direcionar um dispositivo individual na implantação de módulos. Se você não fornecer uma ID de dispositivo, a ID de registro será usada.

   4. Selecione True para declarar que o registro é para um dispositivo IoT Edge.

   5. Opcionalmente, adicione um valor de tag ao Estado inicial do dispositivo gêmeo. Você pode usar marcas para grupos de dispositivos alvo na implantação do módulo. Por exemplo:

      {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
      }
      

   6. Clique em Salvar.

4. Copie o valor da Chave Primária do registro individual a ser usado ao instalar o runtime do IoT Edge.

Agora que existe um registro para esse dispositivo, o runtime do IoT Edge pode provisionar automaticamente o dispositivo durante a instalação.

Registro de grupo

Criar um registro de grupo de DPS

Dica

As etapas neste artigo são para o portal do Microsoft Azure, mas também é possível criar registros de grupo usando a CLI do Azure. Para obter mais informações, confira Grupo de registro az iot dps. Como parte do comando da CLI, use o sinalizador habilitado para dispositivos Edge para especificar que a inscrição é para dispositivos IoT Edge. Para uma inscrição em grupo, todos os dispositivos devem ser dispositivos IoT Edge ou nenhum deles pode ser.

1. No portal do Azure, navegue até sua instância do serviço de provisionamento de dispositivos no Hub IoT.

2. Em Configurações, selecione Gerenciar registros.

3. Selecione adicionar registro individual, em seguida, conclua as seguintes etapas para configurar o registro:

   1. Indique um Nome do grupo.

   2. Selecione Chave simétrica como o tipo de atestado.

   3. Selecione True para declarar que o registro é para um dispositivo IoT Edge. Para uma inscrição em grupo, todos os dispositivos devem ser dispositivos IoT Edge ou nenhum deles pode ser.

   4. Opcionalmente, adicione um valor de tag ao Estado inicial do dispositivo gêmeo. Você pode usar marcas para grupos de dispositivos alvo na implantação do módulo. Por exemplo:

      {
         "tags": {
            "environment": "test"
         },
         "properties": {
            "desired": {}
         }
      }
      

   5. Clique em Salvar.

4. Copie o valor da Chave Primária do grupo de inscrição para usar ao criar chaves de dispositivo para uma inscrição em grupo.

Agora que existe um grupo de registro, o runtime do IoT Edge pode provisionar automaticamente dispositivos durante a instalação.

Derivar uma chave de dispositivo

Cada dispositivo provisionado como parte de uma inscrição em grupo precisa de uma chave de dispositivo derivada para realizar o atestado de chave simétrica no processo de inscrição durante o provisionamento.

Para gerar uma chave do dispositivo, use a chave que você copiou do grupo de inscrição do DPS para calcular o HMAC-SHA256 do ID de registro único do dispositivo e converta o resultado no formato Base64.

Importante

Não inclua a chave primária ou secundária do seu registro no código do dispositivo.

No Windows, você poderá usar o PowerShell para gerar a chave de dispositivo derivada, conforme mostrado no exemplo a seguir.

Substitua o valor de CHAVE pela Chave primária que você anotou anteriormente.

Substitua o valor de REG_ID pela ID de registro do seu dispositivo.

$KEY='PASTE_YOUR_ENROLLMENT_KEY_HERE'
$REG_ID='PASTE_YOUR_REGISTRATION_ID_HERE'

$hmacsha256 = New-Object System.Security.Cryptography.HMACSHA256
$hmacsha256.key = [Convert]::FromBase64String($KEY)
$sig = $hmacsha256.ComputeHash([Text.Encoding]::ASCII.GetBytes($REG_ID))
$derivedkey = [Convert]::ToBase64String($sig)
echo "`n$derivedkey`n"

Abaixo está um exemplo de saída de uma chave de dispositivo derivada:

Jsm0lyGpjaVYVP2g3FnmnmG9dI/9qU24wNoykUmermc=

Instalar o IoT Edge

Nesta seção, você prepara sua VM do Windows ou dispositivo físico para o IoT Edge. Em seguida, você instalará o IoT Edge.

O Azure IoT Edge depende de um runtime de contentor compatível com o OCI. Moby, um mecanismo baseado em Moby, está incluído no script de instalação, o que significa que não há etapas adicionais para instalar o mecanismo.

Para instalar o runtime do IoT Edge:

1. Execute o PowerShell como administrador.

   Use uma sessão AMD64 do PowerShell, não do PowerShell(x86). Se você não tiver certeza de qual tipo de sessão está usando, execute o seguinte comando:

   (Get-Process -Id $PID).StartInfo.EnvironmentVariables["PROCESSOR_ARCHITECTURE"]
   

2. Execute o comando Deploy-IoTEdge, que executa as seguintes tarefas:

   • Verifica se o computador Windows está em uma versão com suporte
   • Ativa o recurso de contêineres
   • Faz o download do mecanismo moby e do ambiente de execução do IoT Edge

   . {Invoke-WebRequest -useb https://aka.ms/iotedge-win} | Invoke-Expression; `
   Deploy-IoTEdge
   

3. Reinicie seu dispositivo se solicitado.

Ao instalar o IoT Edge em um dispositivo, você pode usar parâmetros adicionais para modificar o processo, incluindo:

• Direcionar o tráfego para percorrer um servidor proxy
• Aponte o instalador para um diretório local para instalação offline

Para obter mais informações sobre esses parâmetros adicionais, consulte scripts do PowerShell para IoT Edge com contêineres do Windows.

Provisionar o dispositivo com a identidade de nuvem dele

Depois que o runtime for instalado no seu dispositivo, configure-o com as informações que ele usa para se conectar ao serviço de provisionamento de dispositivos e ao Hub IoT.

Prepare as seguintes informações:

• Valor do escopo da ID do DPS
• ID de registro do dispositivo que você criou
• A Chave Primária de um registro individual ou uma chave derivada para dispositivos que usam um registro de grupo.

1. Abra uma janela do PowerShell no modo de administrador. Use uma sessão AMD64 do PowerShell ao instalar o IoT Edge, não o PowerShell (x86).

2. O comando Initialize-IoTEdge configura o runtime do IoT Edge em seu computador. O comando usa como padrão o provisionamento manual com contêineres do Windows, portanto, use o sinalizador para usar o -DpsSymmetricKey provisionamento automático com autenticação de chave simétrica.

   Substitua os valores dos espaços reservados paste_scope_id_here, paste_registration_id_here, e paste_symmetric_key_here pelos dados coletados anteriormente.

   . {Invoke-WebRequest -useb https://aka.ms/iotedge-win} | Invoke-Expression; `
   Initialize-IoTEdge -DpsSymmetricKey -ScopeId paste_scope_id_here -RegistrationId paste_registration_id_here -SymmetricKey paste_symmetric key_here
   

Verifique se a instalação é bem-sucedida

Se o runtime foi iniciado com êxito, você pode entrar em seu Hub IoT e iniciar a implantação de módulos do IoT Edge em seu dispositivo.

Registro individual

Você pode verificar se o registro individual criado no serviço de provisionamento de dispositivos foi usado. Navegue até a sua instância do serviço de provisionamento de dispositivos do portal do Azure. Abra os detalhes da matrícula para a matrícula individual que você criou. Observe que o status da inscrição é atribuído e o ID do dispositivo está listado.

Registro de grupo

Verifique se o registro de grupo criado no serviço de provisionamento de dispositivos foi usado. Navegue até a sua instância do serviço de provisionamento de dispositivos do portal do Azure. Abra os detalhes de inscrição do grupo que você criou. Vá para a guia Registros para exibir todos os dispositivos registrados nesse grupo.

Use os seguintes comandos em seu dispositivo para verificar se o IoT Edge foi instalado e iniciado com êxito.

Verifique o status do serviço do IoT Edge.

Get-Service iotedge

Examine os logs de serviço.

. {Invoke-WebRequest -useb aka.ms/iotedge-win} | Invoke-Expression; Get-IoTEdgeLog

Listar módulos em execução.

iotedge list

Próximas etapas

O processo de registro do serviço de provisionamento de dispositivo permite definir a ID do dispositivo e as tags do dispositivo gêmeo ao mesmo tempo em que você provisiona o novo dispositivo. Você pode usar esses valores para direcionar dispositivos individuais ou grupos de dispositivos usando o gerenciamento automático de dispositivos. Saiba como Implantar e monitorar os módulos de IoT Edge em escala usando o portal do Azure ou usando a CLI do Azure.