Configurar pontos de extremidade de fluxo de dados MQTT

Importante

Esta página inclui instruções para gerenciar componentes do Azure IoT Operations usando manifestos de implantação do Kubernetes, que está em visualização. Esse recurso é fornecido com várias limitações e não deve ser usado para cargas de trabalho de produção.

Veja Termos de Utilização Complementares da Pré-visualizações do Microsoft Azure para obter os termos legais que se aplicam às funcionalidades do Azure que estão na versão beta, na pré-visualização ou que ainda não foram lançadas para disponibilidade geral.

Os pontos de extremidade de fluxo de dados MQTT são usados para fontes e destinos MQTT. Você pode definir as configurações do ponto de extremidade, Transport Layer Security (TLS), autenticação e outras configurações.

Pré-requisitos

• Uma instância do Azure IoT Operations

Agente MQTT local do Azure IoT Operations

O Azure IoT Operations fornece um agente MQTT local interno que você pode usar com fluxos de dados. Você pode usar o broker MQTT como fonte para receber mensagens de outros sistemas ou como destino para enviar mensagens para outros sistemas.

Ponto de extremidade padrão

Quando você implanta as Operações IoT do Azure, um ponto de extremidade de fluxo de dados do agente MQTT chamado "padrão" é criado com as configurações padrão. Você pode usar esse ponto de extremidade como origem ou destino para fluxos de dados.

Importante

Você deve usar o ponto de extremidade padrão, ou um com as mesmas configurações, em cada fluxo de dados. Pode ser a origem, o destino ou ambos. Para obter mais detalhes, consulte Os fluxos de dados devem usar o ponto de extremidade do broker MQTT local.

O ponto de extremidade padrão usa as seguintes configurações:

• Host: aio-broker:18883 através do ouvinte padrão do broker MQTT
• Autenticação: token de conta de serviço (SAT) através do recurso BrokerAuthentication padrão
• TLS: Ativado
• Certificado de autoridade de certificação confiável: o certificado azure-iot-operations-aio-ca-trust-bundle de autoridade de certificação padrão da autoridade de certificação raiz padrão

Atenção

Não exclua o ponto de extremidade padrão. Se você excluir o ponto de extremidade padrão, deverá recriá-lo com as mesmas configurações.

Para visualizar ou editar as configurações padrão do ponto de extremidade do broker MQTT:

Portal

1. Na experiência de operações, selecione os pontos de extremidade Dataflow.

2. Selecione o ponto de extremidade padrão para visualizar ou editar as configurações.

   

Bicep

Para editar o ponto de extremidade padrão, crie um arquivo Bicep .bicep com o seguinte conteúdo. Atualize as configurações conforme necessário e substitua os valores de espaço reservado como <AIO_INSTANCE_NAME> os seus.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}
resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}
resource defaultMqttBrokerDataflowEndpoint 'Microsoft.IoTOperations/instances/dataflowEndpoints@2024-11-01' = {
  parent: aioInstance
  name: 'default'
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    endpointType: 'Mqtt'
    mqttSettings: {
      host: 'aio-broker:18883'
      authentication: {
        method: 'ServiceAccountToken'
        serviceAccountTokenSettings: {
          audience: 'aio-internal'
        }
      }
      tls: {
        mode: 'Enabled'
        trustedCaCertificateConfigMapRef: 'azure-iot-operations-aio-ca-trust-bundle'
      }
    }
  }
}

Em seguida, implante por meio da CLI do Azure.

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

Kubernetes (visualização)

Você pode visualizar as configurações padrão do ponto de extremidade do broker MQTT no cluster do Kubernetes. Para exibir as configurações, use o seguinte comando:

kubectl get dataflowendpoint default -n azure-iot-operations -o yaml

Criar novo ponto de extremidade

Você também pode criar novos pontos de extremidade do broker MQTT local com configurações personalizadas. Por exemplo, você pode criar um novo ponto de extremidade do agente MQTT usando uma porta, autenticação ou configurações de autorização diferentes. No entanto, você ainda deve sempre usar o ponto de extremidade padrão como origem ou destino em cada fluxo de dados, mesmo se criar novos pontos de extremidade.

Portal

1. Na experiência de operações, selecione os pontos de extremidade Dataflow.

2. Em Criar novo ponto de extremidade de fluxo de dados, selecione Azure IoT Operations Local MQTT>New.

   

   Insira as seguintes configurações para o ponto de extremidade:

   Definição	Description
   Name	O nome do ponto de extremidade do fluxo de dados.
   Host	O nome do host e a porta do broker MQTT. Use o formato <hostname>:<port>
   Método de autenticação	O método usado para autenticação. Escolha Token de conta de serviço ou certificado X509
   Público de serviço	O público do token de conta de serviço. Obrigatório se estiver usando o token de conta de serviço.
   Certificado de cliente X509	O certificado de cliente X.509 usado para autenticação. Obrigatório se estiver usando o certificado X509.
   Chave de cliente X509	A chave privada correspondente ao certificado do cliente X.509. Obrigatório se estiver usando o certificado X509.
   Certificados intermédios X509	Os certificados intermediários para a cadeia de certificados de cliente X.509. Obrigatório se estiver usando o certificado X509.

Bicep

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param endpointName string = '<ENDPOINT_NAME>'
param mqttBrokerHostname string = '<HOSTNAME>:<PORT>'
param trustedCA string = '<TRUST_BUNDLE>'
param serviceAccountAudience string = '<SA_AUDIENCE>'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}
resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}
resource MqttBrokerDataflowEndpoint 'Microsoft.IoTOperations/instances/dataflowEndpoints@2024-11-01' = {
  parent: aioInstance
  name: endpointName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    endpointType: 'Mqtt'
    mqttSettings: {
      host: mqttBrokerHostname
      authentication: {
        method: 'ServiceAccountToken'
        serviceAccountTokenSettings: {
          audience: serviceAccountAudience
        }
      }
      tls: {
        mode: 'Enabled'
        trustedCaCertificateConfigMapRef: trustedCA
      }
    }
  }
}

Kubernetes (visualização)

apiVersion: connectivity.iotoperations.azure.com/v1
kind: DataflowEndpoint
metadata:
  name: <ENDPOINT_NAME>
  namespace: azure-iot-operations
spec:
  endpointType: Mqtt
  mqttSettings:
    host: "<HOSTNAME>:<PORT>"
    tls:
      mode: Enabled
      trustedCaCertificateConfigMapRef: <TRUST_BUNDLE>
    authentication:
      method: ServiceAccountToken
      serviceAccountTokenSettings:
        audience: <SA_AUDIENCE>

Grelha de Eventos do Azure

A Grade de Eventos do Azure fornece um agente MQTT totalmente gerenciado que funciona com fluxos de dados do Azure IoT Operations. Para configurar um ponto de extremidade do agente MQTT da Grade de Eventos do Azure, recomendamos que você use a identidade gerenciada para autenticação.

Configurar namespace da Grade de Eventos

Se você ainda não tiver feito isso, crie o namespace Event Grid primeiro.

Ativar MQTT

Depois de ter um namespace de Grade de Eventos, vá para Configuração e verifique:

• Ativar MQTT: Marque a caixa de seleção.
• Máximo de sessões de cliente por nome de autenticação: defina como 3 ou mais.

A opção max client sessions é importante para que os fluxos de dados possam ser dimensionados e ainda possam se conectar. Para saber mais, consulte Suporte a várias sessões MQTT da grade de eventos.

Criar um espaço de tópico

Para que os fluxos de dados enviem ou recebam mensagens para o agente MQTT da Grade de Eventos, você precisa criar pelo menos um espaço de tópico no namespace da Grade de Eventos. Você pode criar um espaço de tópico no namespace Grade de Eventos selecionando Espaços>de tópico Novo espaço de tópico.

Para começar rapidamente e para testar, você pode criar um espaço de tópico com o tópico # curinga como modelo de tópico.

Atribuir permissão à identidade gerenciada

Para configurar um ponto de extremidade de fluxo de dados para o agente MQTT da Grade de Eventos, recomendamos o uso de uma identidade gerenciada atribuída pelo usuário ou pelo sistema. Essa abordagem é segura e elimina a necessidade de gerenciar credenciais manualmente.

Depois que o espaço de tópico for criado, você precisará atribuir uma função à identidade gerenciada do Azure IoT Operations que conceda permissão para enviar ou receber mensagens ao agente MQTT da Grade de Eventos.

Se estiver usando a identidade gerenciada atribuída ao sistema, no portal do Azure, vá para sua instância de Operações IoT do Azure e selecione Visão geral. Copie o nome da extensão listada após a extensão Azure IoT Operations Arc. Por exemplo, azure-iot-operations-xxxx7. Sua identidade gerenciada atribuída ao sistema pode ser encontrada usando o mesmo nome da extensão Azure IoT Operations Arc.

Em seguida, vá para o controle de acesso ao namespace >da Grade de Eventos (IAM)>Adicionar atribuição de função.

1. Na guia Função, selecione uma função apropriada como EventGrid TopicSpaces Publisher ou EventGrid TopicSpaces Subscriber. Isso dá à identidade gerenciada as permissões necessárias para enviar ou receber mensagens para todos os espaços de tópico no namespace. Para saber mais, consulte Autenticação JWT do Microsoft Entra e autorização do Azure RBAC para publicar ou assinar mensagens MQTT.
2. No separador Membros:
   1. Se estiver usando a identidade gerenciada atribuída pelo sistema, para Atribuir acesso a, selecione a opção Usuário, grupo ou entidade de serviço, selecione + Selecionar membros e procure o nome da extensão do Azure IoT Operations Arc.
   2. Se estiver usando a identidade gerenciada atribuída pelo usuário, para Atribuir acesso a, selecione a opção Identidade gerenciada e, em seguida, selecione + Selecionar membros e procure sua identidade gerenciada atribuída pelo usuário configurada para conexões de nuvem.

Como alternativa, você pode atribuir a função no nível de espaço do tópico. Vá para o espaço >de tópico Controle de acesso (IAM)>Adicionar atribuição de função. Atribua a identidade gerenciada com uma função apropriada como EventGrid TopicSpaces Publisher ou EventGrid TopicSpaces Subscriber. Isso dá à identidade gerenciada as permissões necessárias para enviar ou receber mensagens para o espaço de tópico específico.

Criar ponto de extremidade de fluxo de dados para o agente MQTT da Grade de Eventos

Depois que o namespace Event Grid estiver configurado, você poderá criar um ponto de extremidade de fluxo de dados para o broker MQTT da Grade de Eventos.

Portal

1. Na experiência de operações, selecione a guia Pontos de extremidade de fluxo de dados.

2. Em Criar novo ponto de extremidade de fluxo de dados, selecione Grade de Eventos do Azure MQTT>New.

   

   Insira as seguintes configurações para o ponto de extremidade:

   Definição	Description
   Name	O nome do ponto de extremidade do fluxo de dados.
   Host	O nome do host e a porta do broker MQTT da Grade de Eventos. Use o formato <NAMESPACE>.<REGION>-1.ts.eventgrid.azure.net:8883
   Método de autenticação	O método usado para autenticação. Recomendamos que você escolha Identidade gerenciada atribuída ao sistema ou Identidade gerenciada atribuída pelo usuário.

3. Selecione Aplicar para provisionar o ponto de extremidade.

Bicep

Crie um arquivo Bicep .bicep com o seguinte conteúdo.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param endpointName string = '<ENDPOINT_NAME>'
param eventGridHostName string = '<NAMESPACE>.<REGION>-1.ts.eventgrid.azure.net:8883'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}
resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}
resource remoteMqttBrokerDataflowEndpoint 'Microsoft.IoTOperations/instances/dataflowEndpoints@2024-11-01' = {
  parent: aioInstance
  name: endpointName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    endpointType: 'Mqtt'
    mqttSettings: {
      host: eventGridHostName
      authentication: {
        // See available authentication methods section for method types
        // method: <METHOD_TYPE>
      }
      tls: {
        mode: 'Enabled'
      }
    }
  }
}

Em seguida, implante por meio da CLI do Azure.

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

Kubernetes (visualização)

Crie um arquivo de manifesto .yaml do Kubernetes com o seguinte conteúdo.

apiVersion: connectivity.iotoperations.azure.com/v1
kind: DataflowEndpoint
metadata:
  name: <ENDPOINT_NAME>
  namespace: azure-iot-operations
spec:
  endpointType: Mqtt
  mqttSettings:
    host: <NAMESPACE>.<REGION>-1.ts.eventgrid.azure.net:8883
    authentication:
      # See available authentication methods section for method types
      # method: <METHOD_TYPE>
    tls:
      mode: Enabled

Em seguida, aplique o arquivo de manifesto ao cluster do Kubernetes.

kubectl apply -f <FILE>.yaml

Depois que o ponto de extremidade é criado, você pode usá-lo em um fluxo de dados para se conectar ao agente MQTT da Grade de Eventos como origem ou destino. Os tópicos MQTT são configurados no fluxo de dados.

Usar a autenticação de certificado X.509 com a Grade de Eventos

Quando você usa a autenticação X.509 com um agente MQTT da Grade de Eventos, vá para a Configuração do namespace >da Grade de Eventos e verifique estas configurações:

• Ativar MQTT: Marque a caixa de seleção.
• Habilitar fontes alternativas de nome de autenticação de cliente: marque a caixa de seleção.
• Nome do Assunto do Certificado: Selecione esta opção na lista suspensa.
• Máximo de sessões de cliente por nome de autenticação: defina como 3 ou mais.

As opções alternativas de autenticação de cliente e máximo de sessões de cliente permitem que os fluxos de dados usem o nome da entidade do certificado do cliente para autenticação em vez de MQTT CONNECT Username. Esse recurso é importante para que os fluxos de dados possam gerar várias instâncias e ainda ser capazes de se conectar. Para saber mais, consulte Autenticação de certificado de cliente MQTT da grade de eventos e Suporte a várias sessões.

Em seguida, siga as etapas no certificado X.509 para configurar o ponto de extremidade com as configurações do certificado X.509.

Limitação da subscrição partilhada da Grelha de Eventos

O agente MQTT da Grade de Eventos do Azure não oferece suporte a assinaturas compartilhadas, o que significa que você não pode definir o instanceCount para mais do que 1 no perfil de fluxo de dados se a Grade de Eventos for usada como uma fonte (onde o fluxo de dados assina mensagens) para um fluxo de dados. Nesse caso, se você definir instanceCount maior que 1, o fluxo de dados falhará ao iniciar.

Corretores MQTT personalizados

Para outros brokers MQTT, você pode configurar o endpoint, TLS, autenticação e outras configurações conforme necessário.

Portal

1. Na experiência de operações, selecione a guia Pontos de extremidade de fluxo de dados.

2. Em Criar novo ponto de extremidade de fluxo de dados, selecione Custom MQTT Broker>New.

   

3. Insira as seguintes configurações para o ponto de extremidade:

   Definição	Description
   Name	O nome do ponto de extremidade do fluxo de dados
   Host	O nome do host do ponto de extremidade do broker MQTT no formato <hostname>.<port>.
   Método de autenticação	O método usado para autenticação. Escolha Token de conta de serviço ou certificado X509.
   Público de serviço	O público do token de conta de serviço. Obrigatório se estiver usando o token de conta de serviço.
   Certificado de cliente X509	O certificado de cliente X.509 usado para autenticação. Obrigatório se estiver usando o certificado X509.
   Chave de cliente X509	A chave privada correspondente ao certificado do cliente X.509. Obrigatório se estiver usando o certificado X509.
   Certificados intermédios X509	Os certificados intermediários para a cadeia de certificados de cliente X.509. Obrigatório se estiver usando o certificado X509.

4. Selecione Aplicar para provisionar o ponto de extremidade.

Bicep

mqttSettings: {
  authentication: {
    // See available authentication methods section for method types
    // method: <METHOD_TYPE>
  }
  host: '<HOST>:<PORT>'
  tls: {
    mode: 'Enabled' // or 'Disabled'
    trustedCaCertificateConfigMapRef: '<TRUSTED_CA_CERT_CONFIGMAP>'
  }
}

Kubernetes (visualização)

spec:
  endpointType: Mqtt
  mqttSettings:
    host: <HOST>:<PORT>
    authentication:
      # See available authentication methods section for method types
      # method: <METHOD_TYPE>
    tls:
      mode: Enabled # or Disabled
      trustedCaCertificateConfigMapRef: <TRUSTED_CA_CERT_CONFIGMAP>

Para personalizar as configurações do ponto de extremidade MQTT, consulte as seções a seguir para obter mais informações.

Métodos de autenticação disponíveis

Os seguintes métodos de autenticação estão disponíveis para pontos de extremidade de fluxo de dados do agente MQTT.

Identidade gerida atribuída pelo sistema

Antes de configurar o ponto de extremidade de fluxo de dados, atribua uma função à identidade gerenciada do Azure IoT Operations que conceda permissão para se conectar ao broker MQTT:

1. No portal do Azure, vá para sua instância de Operações do Azure IoT e selecione Visão geral.
2. Copie o nome da extensão listada após a extensão Azure IoT Operations Arc. Por exemplo, azure-iot-operations-xxxx7.
3. Vá para o recurso de nuvem que você precisa para conceder permissões. Por exemplo, vá para o controle de acesso ao namespace >da Grade de Eventos (IAM)>Adicionar atribuição de função.
4. Na guia Função, selecione uma função apropriada.
5. Na guia Membros, para Atribuir acesso a, selecione a opção Usuário, grupo ou entidade de serviço e, em seguida, selecione + Selecionar membros e procure a identidade gerenciada das Operações IoT do Azure. Por exemplo, azure-iot-operations-xxxx7.

Em seguida, configure o ponto de extremidade de fluxo de dados com as configurações de identidade gerenciada atribuídas pelo sistema.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Básico e escolha Método de autenticação>Identidade gerenciada atribuída ao sistema.

Bicep

mqttSettings: {
  authentication: {
    method: 'SystemAssignedManagedIdentity'
    systemAssignedManagedIdentitySettings: {}
  }
}

Kubernetes (visualização)

mqttSettings:
  authentication:
    method: SystemAssignedManagedIdentity
    systemAssignedManagedIdentitySettings:
      {}

Na maioria dos casos, ao usar com a Grade de Eventos, você pode deixar as configurações vazias, conforme mostrado. Isso define o público de identidade gerenciada para o público https://eventgrid.azure.netcomum da Grade de Eventos. Se precisar definir um público diferente, você pode especificá-lo nas configurações.

Portal

Não suportado.

Bicep

mqttSettings: {
  authentication: {
    method: 'SystemAssignedManagedIdentity'
    systemAssignedManagedIdentitySettings: {
      audience: 'https://<AUDIENCE>'
    }
  }
}

Kubernetes (visualização)

mqttSettings:
  authentication:
    method: SystemAssignedManagedIdentity
    systemAssignedManagedIdentitySettings:
      audience: https://<AUDIENCE>

Identidade gerida atribuída pelo utilizador

Para usar a identidade gerenciada atribuída pelo usuário para autenticação, você deve primeiro implantar as Operações do Azure IoT com configurações seguras habilitadas. Em seguida, você precisa configurar uma identidade gerenciada atribuída pelo usuário para conexões na nuvem. Para saber mais, consulte Habilitar configurações seguras na implantação do Azure IoT Operations.

Antes de configurar o ponto de extremidade de fluxo de dados, atribua uma função à identidade gerenciada atribuída pelo usuário que conceda permissão para se conectar ao broker MQTT:

1. No portal do Azure, vá para o recurso de nuvem que você precisa para conceder permissões. Por exemplo, vá para o controle de acesso ao namespace >da Grade de Eventos (IAM)>Adicionar atribuição de função.
2. Na guia Função, selecione uma função apropriada.
3. Na guia Membros, para Atribuir acesso a, selecione a opção Identidade gerenciada e, em seguida, selecione + Selecionar membros e procure sua identidade gerenciada atribuída pelo usuário.

Em seguida, configure o ponto de extremidade de fluxo de dados com as configurações de identidade gerenciada atribuídas pelo usuário.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Básico e escolha Método de autenticação>Identidade gerenciada atribuída pelo usuário.

Bicep

mqttSettings: {
  authentication: {
    method: 'UserAssignedManagedIdentity'
    userAssignedManagedIdentitySettings: {
      clientId: '<ID>'
      tenantId: '<ID>'
      // Optional, defaults to 'https://eventgrid.azure.net/.default'
      // scope: 'https://<SCOPE_URL>' 
    }
  }
}

Kubernetes (visualização)

mqttSettings:
  authentication:
    method: UserAssignedManagedIdentity
    userAssignedManagedIdentitySettings:
      clientId: <ID>
      tenantId: <ID>
      # Optional, defaults to 'https://eventgrid.azure.net/.default'
      # scope: https://<SCOPE_URL>

Aqui, o escopo é opcional e usa como padrão o https://eventgrid.azure.net/.default que funciona para todos os namespaces da Grade de Eventos do Azure. Se você precisar definir um escopo diferente, poderá especificá-lo nas configurações via Bicep ou Kubernetes.

Token de conta de serviço do Kubernetes (SAT)

Para usar o token de conta de serviço (SAT) do Kubernetes para autenticação, não é necessário criar um segredo. O SAT é usado para autenticar com o broker MQTT combinando o público.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Básico e escolha Método de autenticação>Token de conta de serviço.

Insira o público do serviço.

Bicep

mqttSettings: {
  authentication: {
    method: 'ServiceAccountToken'
    serviceAccountTokenSettings: {
      audience: '<YOUR_SERVICE_ACCOUNT_AUDIENCE>'
    }
  }
}

Kubernetes (visualização)

mqttSettings:
  authentication:
    method: ServiceAccountToken
    serviceAccountTokenSettings:
      audience: <YOUR_SERVICE_ACCOUNT_AUDIENCE>

Certificado X.509

Muitos brokers MQTT, como Event Grid, suportam autenticação X.509. Os fluxos de dados podem apresentar um certificado X.509 do cliente e negociar a comunicação TLS.

O certificado e a chave privada devem estar em formato PEM e não protegidos por senha.

Gorjeta

O formato PEM é um formato comum para certificados e chaves. Certificados e chaves no formato PEM são arquivos ASCII codificados em base64 com cabeçalhos que se parecem -----BEGIN CERTIFICATE----- com e -----BEGIN EC PRIVATE KEY----

Se você tiver um certificado em outro formato, poderá convertê-lo para o formato PEM usando OpenSSL. Para saber mais, consulte Como converter um certificado no formato apropriado.

Antes de configurar o ponto de extremidade de fluxo de dados, crie um segredo com o certificado e a chave privada.

• Se você usar o portal de operações, o segredo será automaticamente formatado e sincronizado com o cluster do Kubernetes.

• Se você usar Bicep ou Kubernetes, crie manualmente o segredo com o certificado e a chave privada no mesmo namespace que o ponto de extremidade de fluxo de dados MQTT.

  kubectl create secret generic <X509_SECRET_NAME> -n azure-iot-operations --from-file=client_cert.pem=<CLIENT_CERT_FILE>.pem --from-file=client_key.pem=<PRIVATE_KEY_FILE>.pem --from-file=client_intermediate_certs.pem=<INTERMEDIATE_CERT_FILE>.pem
  

  Aqui, o segredo deve ter client_cert.pem e client_key.pem como os nomes de chave para o certificado e chave privada. Opcionalmente, o segredo também pode ter client_intermediate_certs.pem como nome de chave para os certificados intermediários.

Portal

Importante

Para usar o portal de experiência de operações para gerenciar segredos, as Operações do Azure IoT devem primeiro ser habilitadas com configurações seguras, configurando um Cofre de Chaves do Azure e habilitando identidades de carga de trabalho. Para saber mais, consulte Habilitar configurações seguras na implantação do Azure IoT Operations.

Importante

O portal de experiência de operações atualmente tem um problema conhecido em que a criação de um segredo X.509 resulta em um segredo com dados codificados incorretamente. Para saber mais e a solução alternativa, consulte Problemas conhecidos.

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Básico e escolha Método de autenticação>Certificado X509.

Aqui, em Nome secreto sincronizado, insira um nome para o segredo. Esse nome é usado para fazer referência ao segredo nas configurações do ponto de extremidade do fluxo de dados e é o nome do segredo conforme armazenado no cluster do Kubernetes.

Em seguida, em Certificado de cliente X509, Chave de cliente X509 e Certificados intermediários X509, selecione Adicionar referência para adicionar o certificado, a chave privada e os certificados intermediários. Na página seguinte, selecione o segredo do Cofre da Chave do Azure com Adicionar do Cofre da Chave do Azure ou Criar novo segredo.

Se você selecionar Criar novo, insira as seguintes configurações:

Definição	Descrição
Nome do segredo	O nome do segredo no Cofre da Chave do Azure. Escolha um nome que seja fácil de lembrar para selecionar o segredo mais tarde na lista.
Valor secreto	O certificado, a chave privada ou os certificados intermediários no formato PEM.
Definir data de ativação	Se ativado, a data em que o segredo se torna ativo.
Definir data de validade	Se ativado, a data em que o segredo expira.

Para saber mais sobre segredos, consulte Criar e gerenciar segredos nas Operações do Azure IoT.

Bicep

mqttSettings: {
  authentication: {
    method: 'X509Certificate'
      x509CertificateSettings:
        secretRef: '<X509_SECRET_NAME>'
  }
}

Kubernetes (visualização)

mqttSettings:
  authentication:
    method: X509Certificate
    x509CertificateSettings:
      secretRef: <X509_SECRET_NAME>

Anónimo

Para usar a autenticação anônima, defina o método de autenticação como Anonymous.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Básico e escolha Método de autenticação>Nenhum.

Bicep

mqttSettings: {
  authentication: {
    method: 'Anonymous'
  }
}

Kubernetes (visualização)

mqttSettings:
  authentication:
    method: Anonymous
    anonymousSettings:
      {}

Definições avançadas

Você pode definir configurações avançadas para o ponto de extremidade de fluxo de dados do agente MQTT, como TLS, certificado de CA confiável, configurações de mensagens MQTT e CloudEvents. Você pode definir essas configurações na guia portal avançado do ponto de extremidade do fluxo de dados, dentro do recurso personalizado do ponto de extremidade do fluxo de dados.

Portal

Na experiência de operações, selecione a guia Avançado para o ponto de extremidade de fluxo de dados.

Bicep

// See sections below for explanation of each setting
mqttSettings: {
  qos: 1
  retain: 'Keep'
  sessionExpirySeconds: 3600
  keepAliveSeconds: 60
  maxInflightMessages: 100
  protocol: WebSockets
  clientIdPrefix: 'dataflow'
  cloudEventAttributes : 'Propagate' // or 'CreateOrRemap'
}

Kubernetes (visualização)

# See sections below for explanation of each setting
mqttSettings:
  qos: 1
  retain: Keep
  sessionExpirySeconds: 3600
  keepAliveSeconds: 60
  maxInflightMessages: 100
  protocol: WebSockets
  clientIdPrefix: dataflow
  cloudEventAttributes : Propagate # or CreateOrRemap

Definições do TLS

Modo TLS

Para habilitar ou desabilitar o TLS para o ponto de extremidade MQTT, atualize a mode configuração nas configurações do TLS.

Portal

Na página Configurações do ponto de extremidade de fluxo de dados da experiência de operações, marque a guia Avançado e use a caixa de seleção ao lado de Modo TLS habilitado.

Bicep

mqttSettings: {
  tls: {
    mode: 'Enabled' // or 'Disabled'
  }
}

Kubernetes (visualização)

mqttSettings:
  tls:
    mode: Enabled # or Disabled

O modo TLS pode ser definido como Enabled ou Disabled. Se o modo estiver definido como Enabled, o fluxo de dados usará uma conexão segura com o broker MQTT. Se o modo estiver definido como Disabled, o fluxo de dados usará uma conexão insegura com o broker MQTT.

Certificado de autoridade de certificação confiável

Configure o certificado de CA confiável para o ponto de extremidade MQTT para estabelecer uma conexão segura com o broker MQTT. Essa configuração é importante se o broker MQTT usar um certificado autoassinado ou um certificado assinado por uma CA personalizada que não é confiável por padrão.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Mapa de configuração do certificado de autoridade de certificação confiável para especificar o ConfigMap que contém o certificado de autoridade de certificação confiável.

Bicep

mqttSettings: {
  tls: {
    trustedCaCertificateConfigMapRef: '<YOUR_CA_CERTIFICATE>'
  }
}

Kubernetes (visualização)

mqttSettings:
  tls:
    trustedCaCertificateConfigMapRef: <YOUR_CA_CERTIFICATE>

Este ConfigMap deve conter o certificado da autoridade de certificação no formato PEM. O ConfigMap deve estar no mesmo namespace que o recurso de fluxo de dados MQTT. Por exemplo:

kubectl create configmap client-ca-configmap --from-file root_ca.crt -n azure-iot-operations

---

Gorjeta

Ao conectar-se ao agente MQTT da Grade de Eventos, o certificado da CA não é necessário porque o serviço Hubs de Eventos usa um certificado assinado por uma CA pública confiável por padrão.

Prefixo da ID do Cliente

Você pode definir um prefixo de ID do cliente para o cliente MQTT. O ID do cliente é gerado anexando o nome da instância do fluxo de dados ao prefixo.

Atenção

A maioria dos aplicativos não deve modificar o prefixo da ID do cliente. Não modifique isso após uma implantação inicial de operações de IoT. Alterar o prefixo da ID do cliente após a implantação pode resultar em perda de dados.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Prefixo da ID do Cliente para especificar o prefixo.

Bicep

mqttSettings: {
  clientIdPrefix: '<YOUR_PREFIX>'
}

Kubernetes (visualização)

mqttSettings:
  clientIdPrefix: <YOUR_PREFIX>

QoS

Você pode definir o nível de Qualidade de Serviço (QoS) para as mensagens MQTT como 1 ou 0. A predefinição é 1.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Qualidade de serviço (QoS) para especificar o nível de QoS.

Bicep

mqttSettings: {
  qos: 1 // Or 0
}

Kubernetes (visualização)

mqttSettings:
  qos: 1 # Or 0

Reter

Use a retain configuração para especificar se o fluxo de dados deve manter o sinalizador de retenção em mensagens MQTT. A predefinição é Keep.

Definir esse campo como Keep é útil para garantir que o agente remoto tenha as mesmas mensagens retidas que o agente local, o que pode ser importante para cenários de Namespace Unificado (UNS).

Se definido como Never, o sinalizador de retenção será removido das mensagens MQTT. Isso pode ser útil quando você não quiser que o agente remoto retenha nenhuma mensagem ou se o agente remoto não suportar retenção.

Para definir as configurações de retenção:

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Reter para especificar a configuração de retenção.

Bicep

mqttSettings: {
  retain: Keep // or Never
}

Kubernetes (visualização)

mqttSettings:
  retain: Keep # or Never

A configuração de retenção só terá efeito se o fluxo de dados usar o ponto de extremidade MQTT como origem e destino. Por exemplo, em um cenário de ponte MQTT.

Importante

O agente MQTT da Grade de Eventos do Azure atualmente não oferece suporte ao sinalizador de retenção. Isso significa que, se você definir o sinalizador de retenção para Keep um ponto de extremidade do broker MQTT da Grade de Eventos e ele estiver sendo usado como destino, as mensagens serão rejeitadas. Para evitar isso, defina o sinalizador de retenção como Never ao usar o agente MQTT da Grade de Eventos como destino.

Expiração da sessão

Você pode definir o intervalo de expiração da sessão para o cliente MQTT de fluxo de dados. O intervalo de expiração da sessão é o tempo máximo que uma sessão MQTT é mantida se o cliente de fluxo de dados se desconectar. O padrão é 600 segundos. Para configurar o intervalo de expiração da sessão:

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Expiração da sessão para especificar o intervalo de expiração da sessão.

Bicep

mqttSettings: {
  sessionExpirySeconds: 600
}

Kubernetes (visualização)

mqttSettings:
  sessionExpirySeconds: 600

Protocolo MQTT ou WebSockets

Por padrão, WebSockets não está habilitado. Para usar MQTT sobre WebSockets, defina o protocol campo como WebSockets.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Protocolo para especificar o protocolo.

Bicep

mqttSettings: {
  protocol: 'WebSockets'
}

Kubernetes (visualização)

mqttSettings:
  protocol: WebSockets

Máximo de mensagens a bordo

Você pode definir o número máximo de mensagens de entrada que o cliente MQTT de fluxo de dados pode ter. A predefinição é 100.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Máximo de mensagens durante o voo para especificar o número máximo de mensagens a bordo.

Bicep

mqttSettings: {
  maxInflightMessages: 100
}

Kubernetes (visualização)

mqttSettings:
  maxInflightMessages: 100

Para subscrever quando o ponto de extremidade MQTT é usado como fonte, este é o máximo de receção. Para publicação quando o ponto de extremidade MQTT é usado como destino, esse é o número máximo de mensagens a serem enviadas antes de aguardar uma confirmação.

Mantenha-se vivo

Você pode definir o intervalo keep alive para o cliente MQTT de fluxo de dados. O intervalo keep alive é o tempo máximo que o cliente de fluxo de dados pode ficar ocioso antes de enviar uma mensagem PINGREQ para o broker. A predefinição é 60 segundos.

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Manter ativo para especificar o intervalo de manutenção ativa.

Bicep

mqttSettings: {
  keepAliveSeconds: 60
}

Kubernetes (visualização)

mqttSettings:
  keepAliveSeconds: 60

CloudEventos

CloudEvents são uma maneira de descrever dados de eventos de uma maneira comum. As configurações do CloudEvents são usadas para enviar ou receber mensagens no formato CloudEvents. Você pode usar o CloudEvents para arquiteturas orientadas a eventos em que diferentes serviços precisam se comunicar entre si no mesmo ou em diferentes provedores de nuvem.

As cloudEventAttributes opções são Propagate ouCreateOrRemap. Para definir as configurações do CloudEvents:

Portal

Na página Configurações do ponto de extremidade do fluxo de dados da experiência de operações, selecione a guia Avançado e use o campo Atributos de evento da nuvem para especificar a configuração CloudEvents.

Bicep

mqttSettings: {
  cloudEventAttributes : 'Propagate' // or 'CreateOrRemap'
}

Kubernetes (visualização)

mqttSettings:
  cloudEventAttributes : Propagate # or CreateOrRemap

As seções a seguir fornecem mais informações sobre as configurações do CloudEvents.

Propagar configuração

As propriedades do CloudEvent são passadas para mensagens que contêm as propriedades necessárias. Se a mensagem não contiver as propriedades necessárias, a mensagem será passada como está.

Nome	Obrigatório	Valores de exemplo	Valor de saída
specversion	Sim	1.0	Passado como está
type	Sim	ms.aio.telemetry	Passado como está
source	Sim	aio://mycluster/myoven	Passado como está
id	Sim	A234-1234-1234	Passado como está
subject	Não	aio/myoven/telemetry/temperature	Passado como está
time	Não	2018-04-05T17:31:00Z	Passou como está. Não é recarimbado.
datacontenttype	Não	application/json	Alterado para o tipo de conteúdo de dados de saída após o estágio de transformação opcional.
dataschema	Não	sr://fabrikam-schemas/123123123234234234234234#1.0.0	Se um esquema de transformação de dados de saída for fornecido na configuração de transformação, dataschema será alterado para o esquema de saída.

Configuração CreateOrRemap

As propriedades do CloudEvent são passadas para mensagens que contêm as propriedades necessárias. Se a mensagem não contiver as propriedades necessárias, as propriedades serão geradas.

Nome	Obrigatório	Valor gerado se faltar
specversion	Sim	1.0
type	Sim	ms.aio-dataflow.telemetry
source	Sim	aio://<target-name>
id	Sim	UUID gerado no cliente de destino
subject	Não	O tópico de saída para onde a mensagem é enviada
time	Não	Gerado como RFC 3339 no cliente de destino
datacontenttype	Não	Alterado para o tipo de conteúdo de dados de saída após o estágio de transformação opcional
dataschema	Não	Esquema definido no registro do esquema

Próximos passos

Para saber mais sobre fluxos de dados, consulte Criar um fluxo de dados.