Настройка конечных точек потока данных MQTT

Внимание

На этой странице содержатся инструкции по управлению компонентами Операций Интернета вещей Azure с помощью манифестов развертывания Kubernetes, которые доступны в предварительной версии. Эта функция предоставляется с несколькими ограничениями и не должна использоваться для рабочих нагрузок.

Юридические условия, применимые к функциям Azure, которые находятся в состоянии бета-версии, предварительной версии или иным образом еще не выпущены в общедоступной версии, см. на странице Дополнительные условия использования предварительных версий в Microsoft Azure.

Конечные точки потока данных MQTT используются для источников и назначений MQTT. Параметры конечной точки, tls, аутентификация и другие параметры можно настроить.

Необходимые компоненты

• Экземпляр операций Интернета вещей Azure

Локальный брокер MQTT операций Интернета вещей Azure

Операции Интернета вещей Azure предоставляют встроенный локальный брокер MQTT, который можно использовать с потоками данных. Брокер MQTT можно использовать в качестве источника для получения сообщений от других систем или в качестве назначения для отправки сообщений в другие системы.

Конечная точка по умолчанию

При развертывании Операций Интернета вещей Azure создается конечная точка потока данных брокера MQTT с именем default с параметрами по умолчанию. Эту конечную точку можно использовать в качестве источника или назначения для потоков данных.

Внимание

В каждом потоке данных необходимо использовать конечную точку по умолчанию или одну с одинаковыми параметрами. Это может быть источник, назначение или оба. Дополнительные сведения см. в статье "Потоки данных" должны использовать локальную конечную точку брокера MQTT.

Конечная точка по умолчанию использует следующие параметры:

• Узел: aio-broker:18883 через прослушиватель брокера MQTT по умолчанию
• Проверка подлинности: маркер учетной записи службы (SAT) через ресурс BrokerAuthentication по умолчанию
• TLS: включено
• Доверенный сертификат ЦС: сертификат azure-iot-operations-aio-ca-trust-bundle ЦС по умолчанию из корневого ЦС по умолчанию

Внимание

Не удаляйте конечную точку по умолчанию. Если удалить конечную точку по умолчанию, необходимо повторно создать ее с теми же параметрами.

Чтобы просмотреть или изменить параметры конечной точки брокера MQTT по умолчанию, выполните следующие действия.

Портал

1. В интерфейсе операций выберите конечные точки потока данных.

2. Выберите конечную точку по умолчанию для просмотра или изменения параметров.

   

Bicep

Чтобы изменить конечную точку по умолчанию, создайте файл Bicep .bicep со следующим содержимым. Обновите параметры по мере необходимости и замените значения заполнителей, например <AIO_INSTANCE_NAME> собственные.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}
resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}
resource defaultMqttBrokerDataflowEndpoint 'Microsoft.IoTOperations/instances/dataflowEndpoints@2024-11-01' = {
  parent: aioInstance
  name: 'default'
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    endpointType: 'Mqtt'
    mqttSettings: {
      host: 'aio-broker:18883'
      authentication: {
        method: 'ServiceAccountToken'
        serviceAccountTokenSettings: {
          audience: 'aio-internal'
        }
      }
      tls: {
        mode: 'Enabled'
        trustedCaCertificateConfigMapRef: 'azure-iot-operations-aio-ca-trust-bundle'
      }
    }
  }
}

Затем развернитесь с помощью Azure CLI.

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

Kubernetes (предварительная версия)

Параметры конечной точки брокера MQTT по умолчанию можно просмотреть в кластере Kubernetes. Чтобы просмотреть параметры, используйте следующую команду:

kubectl get dataflowendpoint default -n azure-iot-operations -o yaml

Создание новой конечной точки

Вы также можете создать новые локальные конечные точки брокера MQTT с пользовательскими параметрами. Например, можно создать новую конечную точку брокера MQTT с помощью другого порта, проверки подлинности или авторизации. Однако всегда следует использовать конечную точку по умолчанию в качестве источника или назначения в каждом потоке данных, даже если вы создаете новые конечные точки.

Портал

1. В интерфейсе операций выберите конечные точки потока данных.

2. В разделе "Создание новой конечной точки потока данных" выберите Azure IoT Operations Local MQTT>New.

   

   Введите следующие параметры для конечной точки:

   Параметр	Description
   Имя.	Имя конечной точки потока данных.
   Хост	Имя узла и порт брокера MQTT. Использование формата <hostname>:<port>
   Authentication method	Метод, используемый для проверки подлинности. Выбор маркера учетной записи службы или сертификата X509
   Аудитория служб	Аудитория маркера учетной записи службы. Требуется, если используется маркер учетной записи службы.
   Сертификат клиента X509	Сертификат клиента X.509, используемый для проверки подлинности. Требуется, если используется сертификат X509. Вы можете отправлять отраслевые многострочный многострочный сертификат X509, повышая эффективность управления проверкой подлинности устройств, безопасностью и гибкостью.
   Ключ клиента X509	Закрытый ключ, соответствующий сертификату клиента X.509. Требуется, если используется сертификат X509.
   Промежуточные сертификаты X509	Промежуточные сертификаты для цепочки сертификатов клиента X.509. Требуется, если используется сертификат X509.

Bicep

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param endpointName string = '<ENDPOINT_NAME>'
param mqttBrokerHostname string = '<HOSTNAME>:<PORT>'
param trustedCA string = '<TRUST_BUNDLE>'
param serviceAccountAudience string = '<SA_AUDIENCE>'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}
resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}
resource MqttBrokerDataflowEndpoint 'Microsoft.IoTOperations/instances/dataflowEndpoints@2024-11-01' = {
  parent: aioInstance
  name: endpointName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    endpointType: 'Mqtt'
    mqttSettings: {
      host: mqttBrokerHostname
      authentication: {
        method: 'ServiceAccountToken'
        serviceAccountTokenSettings: {
          audience: serviceAccountAudience
        }
      }
      tls: {
        mode: 'Enabled'
        trustedCaCertificateConfigMapRef: trustedCA
      }
    }
  }
}

Kubernetes (предварительная версия)

apiVersion: connectivity.iotoperations.azure.com/v1
kind: DataflowEndpoint
metadata:
  name: <ENDPOINT_NAME>
  namespace: azure-iot-operations
spec:
  endpointType: Mqtt
  mqttSettings:
    host: "<HOSTNAME>:<PORT>"
    tls:
      mode: Enabled
      trustedCaCertificateConfigMapRef: <TRUST_BUNDLE>
    authentication:
      method: ServiceAccountToken
      serviceAccountTokenSettings:
        audience: <SA_AUDIENCE>

Сетку событий Azure

Сетка событий Azure предоставляет полностью управляемый брокер MQTT, который работает с потоками данных операций Интернета вещей Azure. Чтобы настроить конечную точку брокера MQTT Сетка событий Azure, рекомендуется использовать управляемое удостоверение для проверки подлинности.

Настройка пространства имен Сетки событий

Если вы этого еще не сделали, сначала создайте пространство имен Сетки событий.

Включение MQTT

Когда у вас есть пространство имен Сетки событий, перейдите к разделу "Конфигурация " и проверьте:

• Включите MQTT: установите флажок.
• Максимальное количество сеансов клиента на имя проверки подлинности: установлено значение 3 или более.

Параметр максимального числа клиентских сеансов важен, чтобы потоки данных могли масштабироваться и по-прежнему иметь возможность подключаться. Дополнительные сведения см. в статье "Поддержка многосеансовой службы "Сетка событий MQTT".

Создание пространства разделов

Чтобы потоки данных отправляли или получали сообщения в брокер MQTT сетки событий, необходимо создать по крайней мере одно пространство тем в пространстве имен Сетки событий. Вы можете создать пространство тем в пространстве имен Сетки событий, выбрав >раздел "Новые пространства тем".

Чтобы быстро приступить к тестированию, можно создать пространство тем # с подстановочными знаками в качестве шаблона раздела.

Назначение разрешения управляемому удостоверению

Чтобы настроить конечную точку потока данных для брокера MQTT сетки событий, рекомендуется использовать управляемое удостоверение, назначаемое пользователем или назначаемое системой. Этот подход является безопасным и устраняет необходимость управления учетными данными вручную.

После создания пространства разделов необходимо назначить роль управляемому удостоверению Операций Интернета вещей Azure, которое предоставляет разрешение на отправку или получение сообщений брокеру MQTT сетки событий.

При использовании управляемого удостоверения, назначаемого системой, в портал Azure перейдите к экземпляру Операций Интернета вещей Azure и выберите "Обзор". Скопируйте имя расширения, указанного после расширения Azure IoT Operations Arc. Например, azure-iot-operations-xxxx7. Управляемое удостоверение, назначаемое системой, можно найти с помощью того же имени расширения Azure IoT Operations Arc.

Затем перейдите к элементу управления доступом к пространству >имен сетки событий (IAM)>Добавить назначение ролей.

1. На вкладке "Роль" выберите соответствующую роль, например EventGrid TopicSpaces Publisher или EventGrid TopicSpaces Subscriber. Это дает управляемому удостоверению необходимые разрешения для отправки или получения сообщений для всех пространств тем в пространстве имен. Дополнительные сведения см. в разделе проверки подлинности Microsoft Entra JWT и авторизация Azure RBAC для публикации или подписки на сообщения MQTT.
2. На вкладке "Члены" :
   1. При использовании управляемого удостоверения, назначаемого системой, для назначения доступа выберите "Пользователь", "Группа" или "Субъект-служба ", а затем выберите +Выберите участников и найдите имя расширения Azure IoT Operations Arc.
   2. При использовании управляемого удостоверения, назначаемого пользователем, для назначения доступа выберите параметр "Управляемое удостоверение ", а затем выберите "Выбрать участников " и выполните поиск управляемого удостоверения, назначаемого пользователем, для облачных подключений.

Кроме того, можно назначить роль на уровне пространства тем. Перейдите к разделу >управления доступом (IAM)>Добавить назначение ролей. Назначьте управляемое удостоверение соответствующим образом EventGrid TopicSpaces Publisher или EventGrid TopicSpaces Subscriber. Это дает управляемому удостоверению необходимые разрешения для отправки или получения сообщений для определенного пространства тем.

Примечание.

Второе развертывание с той же конфигурацией потока данных не сможет подключиться и приведет к ошибке авторизации. Чтобы устранить эту проблему, измените имя потока данных во второй конфигурации. Эта проблема возникает только в том случае, если второе развертывание происходит одновременно с первым развертыванием или вскоре после истечения срока действия сеанса MQTT.

Создание конечной точки потока данных для брокера MQTT сетки событий

После настройки пространства имен сетки событий можно создать конечную точку потока данных для брокера MQTT сетки событий.

Портал

1. В интерфейсе операций перейдите на вкладку конечных точек потока данных.

2. В разделе "Создание новой конечной точки потока данных" выберите Сетка событий Azure MQTT>New.

   

   Введите следующие параметры для конечной точки:

   Параметр	Description
   Имя.	Имя конечной точки потока данных.
   Хост	Имя узла и порт брокера MQTT сетки событий. Использование формата <NAMESPACE>.<REGION>-1.ts.eventgrid.azure.net:8883
   Authentication method	Метод, используемый для проверки подлинности. Рекомендуется выбрать управляемое удостоверение, назначаемое системой, или назначаемое пользователем управляемое удостоверение.

3. Нажмите кнопку "Применить" , чтобы подготовить конечную точку.

Bicep

Создайте файл Bicep .bicep со следующим содержимым.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param endpointName string = '<ENDPOINT_NAME>'
param eventGridHostName string = '<NAMESPACE>.<REGION>-1.ts.eventgrid.azure.net:8883'

resource aioInstance 'Microsoft.IoTOperations/instances@2024-11-01' existing = {
  name: aioInstanceName
}
resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}
resource remoteMqttBrokerDataflowEndpoint 'Microsoft.IoTOperations/instances/dataflowEndpoints@2024-11-01' = {
  parent: aioInstance
  name: endpointName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    endpointType: 'Mqtt'
    mqttSettings: {
      host: eventGridHostName
      authentication: {
        // See available authentication methods section for method types
        // method: <METHOD_TYPE>
      }
      tls: {
        mode: 'Enabled'
      }
    }
  }
}

Затем развернитесь с помощью Azure CLI.

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

Kubernetes (предварительная версия)

Создайте файл манифеста .yaml Kubernetes со следующим содержимым.

apiVersion: connectivity.iotoperations.azure.com/v1
kind: DataflowEndpoint
metadata:
  name: <ENDPOINT_NAME>
  namespace: azure-iot-operations
spec:
  endpointType: Mqtt
  mqttSettings:
    host: <NAMESPACE>.<REGION>-1.ts.eventgrid.azure.net:8883
    authentication:
      # See available authentication methods section for method types
      # method: <METHOD_TYPE>
    tls:
      mode: Enabled

Затем примените файл манифеста к кластеру Kubernetes.

kubectl apply -f <FILE>.yaml

После создания конечной точки его можно использовать в потоке данных для подключения к брокеру MQTT сетки событий в качестве источника или назначения. Разделы MQTT настраиваются в потоке данных.

Использование проверки подлинности сертификата X.509 с сеткой событий

При использовании проверки подлинности X.509 с брокером MQTT сетки событий перейдите в конфигурацию пространства >имен Сетки событий и проверьте следующие параметры:

• Включите MQTT: установите флажок.
• Включите альтернативные источники имен проверки подлинности клиента: установите флажок.
• Имя субъекта сертификата: выберите этот параметр в раскрывающемся списке.
• Максимальное количество сеансов клиента на имя проверки подлинности: установлено значение 3 или более.

Альтернативные параметры проверки подлинности клиента и максимальные параметры сеансов клиента позволяют потокам данных использовать имя субъекта сертификата клиента для проверки подлинности вместо MQTT CONNECT Usernameпроверки подлинности. Эта возможность важна, чтобы потоки данных могли создавать несколько экземпляров и по-прежнему иметь возможность подключаться. Дополнительные сведения см. в статье "Проверка подлинности сертификата клиента MQTT в Сетке событий" и поддержка нескольких сеансов.

Затем выполните действия, описанные в сертификате X.509, чтобы настроить конечную точку с параметрами сертификата X.509.

Ограничение общей подписки сетки событий

Сетка событий Azure брокер MQTT не поддерживает общие подписки, что означает, что нельзя задать instanceCount значение больше, чем 1 в профиле потока данных, если сетка событий используется в качестве источника (где поток данных подписывается на сообщения) для потока данных. В этом случае, если задано instanceCount1больше, поток данных не запускается.

Пользовательские брокеры MQTT

Для других брокеров MQTT можно настроить конечную точку, TLS, проверку подлинности и другие параметры по мере необходимости.

Портал

1. В интерфейсе операций перейдите на вкладку конечных точек потока данных.

2. В разделе "Создание новой конечной точки потока данных" выберите "Создать настраиваемый брокер>MQTT".

   

3. Введите следующие параметры для конечной точки:

   Параметр	Description
   Имя.	Имя конечной точки потока данных
   Хост	Имя узла конечной точки брокера MQTT в формате <hostname>.<port>.
   Authentication method	Метод, используемый для проверки подлинности. Выберите маркер учетной записи службы или сертификат X509.
   Аудитория служб	Аудитория маркера учетной записи службы. Требуется, если используется маркер учетной записи службы.
   Сертификат клиента X509	Сертификат клиента X.509, используемый для проверки подлинности. Требуется, если используется сертификат X509. Вы можете отправлять отраслевые многострочный многострочный сертификат X509, повышая эффективность управления проверкой подлинности устройств, безопасностью и гибкостью.
   Ключ клиента X509	Закрытый ключ, соответствующий сертификату клиента X.509. Требуется, если используется сертификат X509.
   Промежуточные сертификаты X509	Промежуточные сертификаты для цепочки сертификатов клиента X.509. Требуется, если используется сертификат X509.

4. Нажмите кнопку "Применить" , чтобы подготовить конечную точку.

Bicep

mqttSettings: {
  authentication: {
    // See available authentication methods section for method types
    // method: <METHOD_TYPE>
  }
  host: '<HOST>:<PORT>'
  tls: {
    mode: 'Enabled' // or 'Disabled'
    trustedCaCertificateConfigMapRef: '<TRUSTED_CA_CERT_CONFIGMAP>'
  }
}

Kubernetes (предварительная версия)

spec:
  endpointType: Mqtt
  mqttSettings:
    host: <HOST>:<PORT>
    authentication:
      # See available authentication methods section for method types
      # method: <METHOD_TYPE>
    tls:
      mode: Enabled # or Disabled
      trustedCaCertificateConfigMapRef: <TRUSTED_CA_CERT_CONFIGMAP>

Чтобы настроить параметры конечной точки MQTT, дополнительные сведения см. в следующих разделах.

Доступные методы проверки подлинности

Для конечных точек потока данных брокера MQTT доступны следующие методы проверки подлинности.

Управляемое удостоверение, назначаемое системой

Перед настройкой конечной точки потока данных назначьте роль управляемому удостоверению Операций Интернета вещей Azure, который предоставляет разрешение на подключение к брокеру MQTT:

1. В портал Azure перейдите к экземпляру Операций Интернета вещей Azure и выберите "Обзор".
2. Скопируйте имя расширения, указанного после расширения Azure IoT Operations Arc. Например, azure-iot-operations-xxxx7.
3. Перейдите к облачному ресурсу, которому необходимо предоставить разрешения. Например, перейдите к элементу управления доступом к пространству >имен сетки событий (IAM)>Add role assignment.
4. На вкладке "Роль" выберите соответствующую роль.
5. На вкладке "Участники" , чтобы назначить доступ, выберите "Пользователь", "Группа" или "Субъект-служба ", а затем нажмите кнопку "Выбрать участников " и выполните поиск управляемого удостоверения Операций Интернета вещей Azure. Например, azure-iot-operations-xxxx7.

Затем настройте конечную точку потока данных с параметрами управляемого удостоверения, назначаемого системой.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Базовый", а затем выберите управляемое удостоверение,>назначенное системой проверки подлинности.

Bicep

mqttSettings: {
  authentication: {
    method: 'SystemAssignedManagedIdentity'
    systemAssignedManagedIdentitySettings: {}
  }
}

Kubernetes (предварительная версия)

mqttSettings:
  authentication:
    method: SystemAssignedManagedIdentity
    systemAssignedManagedIdentitySettings:
      {}

В большинстве случаев при использовании с сеткой событий можно оставить параметры пустыми, как показано ниже. Это задает аудиторию управляемого удостоверения для общей аудитории https://eventgrid.azure.netСетки событий. Если необходимо задать другую аудиторию, ее можно указать в параметрах.

Портал

Не поддерживается.

Bicep

mqttSettings: {
  authentication: {
    method: 'SystemAssignedManagedIdentity'
    systemAssignedManagedIdentitySettings: {
      audience: 'https://<AUDIENCE>'
    }
  }
}

Kubernetes (предварительная версия)

mqttSettings:
  authentication:
    method: SystemAssignedManagedIdentity
    systemAssignedManagedIdentitySettings:
      audience: https://<AUDIENCE>

Управляемое удостоверение, назначаемое пользователем

Чтобы использовать назначаемое пользователем управляемое удостоверение для проверки подлинности, необходимо сначала развернуть операции Интернета вещей Azure с включенными безопасными параметрами. Затем необходимо настроить управляемое удостоверение, назначаемое пользователем, для облачных подключений. Дополнительные сведения см. в статье "Включение безопасных параметров в развертывании Операций Интернета вещей Azure".

Перед настройкой конечной точки потока данных назначьте роль управляемому удостоверению, назначаемого пользователем, который предоставляет разрешение на подключение к брокеру MQTT:

1. В портал Azure перейдите к облачному ресурсу, которому необходимо предоставить разрешения. Например, перейдите к элементу управления доступом к пространству >имен сетки событий (IAM)>Add role assignment.
2. На вкладке "Роль" выберите соответствующую роль.
3. На вкладке "Участники" для назначения доступа выберите параметр "Управляемое удостоверение", а затем нажмите кнопку "Выбрать участников" и найдите управляемое удостоверение, назначаемое пользователем.

Затем настройте конечную точку потока данных с параметрами управляемого удостоверения, назначаемого пользователем.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Базовый" и выберите метод проверки подлинности>, назначенный пользователем.

Bicep

mqttSettings: {
  authentication: {
    method: 'UserAssignedManagedIdentity'
    userAssignedManagedIdentitySettings: {
      clientId: '<ID>'
      tenantId: '<ID>'
      // Optional, defaults to 'https://eventgrid.azure.net/.default'
      // scope: 'https://<SCOPE_URL>' 
    }
  }
}

Kubernetes (предварительная версия)

mqttSettings:
  authentication:
    method: UserAssignedManagedIdentity
    userAssignedManagedIdentitySettings:
      clientId: <ID>
      tenantId: <ID>
      # Optional, defaults to 'https://eventgrid.azure.net/.default'
      # scope: https://<SCOPE_URL>

Здесь область является необязательной и по умолчанию https://eventgrid.azure.net/.default используется для всех Сетка событий Azure пространств имен. Если необходимо задать другую область, ее можно указать в параметрах с помощью Bicep или Kubernetes.

Токен учетной записи службы Kubernetes (SAT)

Чтобы использовать маркер учетной записи службы Kubernetes (SAT) для проверки подлинности, вам не нужно создавать секрет. SAT используется для проверки подлинности с помощью брокера MQTT путем сопоставления аудитории.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Базовый" и выберите маркер учетной записи службы проверки подлинности.>

Введите аудиторию службы.

Bicep

mqttSettings: {
  authentication: {
    method: 'ServiceAccountToken'
    serviceAccountTokenSettings: {
      audience: '<YOUR_SERVICE_ACCOUNT_AUDIENCE>'
    }
  }
}

Kubernetes (предварительная версия)

mqttSettings:
  authentication:
    method: ServiceAccountToken
    serviceAccountTokenSettings:
      audience: <YOUR_SERVICE_ACCOUNT_AUDIENCE>

Сертификат X.509

Многие брокеры MQTT, такие как Сетка событий, поддерживают проверку подлинности X.509. Потоки данных могут представлять сертификат X.509 клиента и согласовывать связь TLS.

Сертификат и закрытый ключ должны быть в формате PEM и не защищены паролем.

Совет

Формат PEM — это общий формат для сертификатов и ключей. Сертификаты и ключи в формате PEM — это файлы ASCII с кодировкой Base64 с заголовками, которые выглядят следующим -----BEGIN CERTIFICATE----- образом. -----BEGIN EC PRIVATE KEY----

Если у вас есть сертификат в другом формате, его можно преобразовать в формат PEM с помощью OpenSSL. Дополнительные сведения см. в статье "Как преобразовать сертификат в соответствующий формат".

Перед настройкой конечной точки потока данных создайте секрет с сертификатом и закрытым ключом.

• При использовании портала операций секрет автоматически отформатируется и синхронизируется с кластером Kubernetes.

• При использовании Bicep или Kubernetes вручную создайте секрет с сертификатом и закрытым ключом в том же пространстве имен, что и конечная точка потока данных MQTT.

  kubectl create secret generic <X509_SECRET_NAME> -n azure-iot-operations --from-file=client_cert.pem=<CLIENT_CERT_FILE>.pem --from-file=client_key.pem=<PRIVATE_KEY_FILE>.pem --from-file=client_intermediate_certs.pem=<INTERMEDIATE_CERT_FILE>.pem
  

  Здесь секрет должен иметь и client_cert.pemclient_key.pem в качестве имен ключей для сертификата и закрытого ключа. При необходимости секрет также может иметь client_intermediate_certs.pem имя ключа для промежуточных сертификатов.

Портал

Внимание

Чтобы использовать портал операций для управления секретами, операции Интернета вещей Azure сначала должны быть включены с безопасными параметрами, настроив Azure Key Vault и включив удостоверения рабочей нагрузки. Дополнительные сведения см. в статье "Включение безопасных параметров в развертывании Операций Интернета вещей Azure".

Внимание

В настоящее время портал операций имеет известную проблему, при которой создание секрета X.509 приводит к неправильно закодированным данным. Дополнительные сведения и обходной путь см. в известных проблемах.

На странице параметров конечной точки потока данных для операций выберите вкладку "Базовый" и выберите сертификат X509 метода>проверки подлинности.

В разделе "Синхронизированное имя секрета" введите имя секрета. Это имя используется для ссылки на секрет в параметрах конечной точки потока данных и является именем секрета, хранящегося в кластере Kubernetes.

Затем в разделе сертификат клиента X509, ключ клиента X509 и промежуточные сертификаты X509 выберите "Добавить ссылку ", чтобы добавить сертификат, закрытый ключ и промежуточные сертификаты. На следующей странице выберите секрет из Azure Key Vault с добавлением из Azure Key Vault или создайте новый секрет.

Если выбрать "Создать", введите следующие параметры:

Параметр	Description
Имя секрета	Имя секрета в Azure Key Vault. Выберите имя, которое легко помнить, чтобы выбрать секрет позже из списка.
Значение секрета	Сертификат, закрытый ключ или промежуточные сертификаты в формате PEM. Вы можете отправлять отраслевые многострочный многострочный сертификат X509, повышая эффективность управления проверкой подлинности устройств, безопасностью и гибкостью.
Задать дату активации	Если этот параметр включен, дата, когда секрет становится активным.
Задать дату окончания срока действия	Если этот параметр включен, дата истечения срока действия секрета.

Дополнительные сведения о секретах см. в статье "Создание секретов и управление ими в операциях Интернета вещей Azure".

Bicep

mqttSettings: {
  authentication: {
    method: 'X509Certificate'
      x509CertificateSettings:
        secretRef: '<X509_SECRET_NAME>'
  }
}

Kubernetes (предварительная версия)

mqttSettings:
  authentication:
    method: X509Certificate
    x509CertificateSettings:
      secretRef: <X509_SECRET_NAME>

Анонимные

Чтобы использовать анонимную проверку подлинности, задайте для метода проверки подлинности значение Anonymous.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Базовый" и выберите метод>проверки подлинности None.

Bicep

mqttSettings: {
  authentication: {
    method: 'Anonymous'
  }
}

Kubernetes (предварительная версия)

mqttSettings:
  authentication:
    method: Anonymous
    anonymousSettings:
      {}

Расширенные настройки

Дополнительные параметры для конечной точки потока данных брокера MQTT, таких как TLS, доверенный сертификат ЦС, параметры обмена сообщениями MQTT и CloudEvents. Эти параметры можно задать на вкладке "Расширенный портал потока данных" в пользовательском ресурсе конечной точки потока данных.

Портал

В интерфейсе операций выберите вкладку "Дополнительно " для конечной точки потока данных.

Bicep

// See sections below for explanation of each setting
mqttSettings: {
  qos: 1
  retain: 'Keep'
  sessionExpirySeconds: 3600
  keepAliveSeconds: 60
  maxInflightMessages: 100
  protocol: WebSockets
  clientIdPrefix: 'dataflow'
  cloudEventAttributes : 'Propagate' // or 'CreateOrRemap'
}

Kubernetes (предварительная версия)

# See sections below for explanation of each setting
mqttSettings:
  qos: 1
  retain: Keep
  sessionExpirySeconds: 3600
  keepAliveSeconds: 60
  maxInflightMessages: 100
  protocol: WebSockets
  clientIdPrefix: dataflow
  cloudEventAttributes : Propagate # or CreateOrRemap

Параметры протокола TLS

Режим TLS

Чтобы включить или отключить TLS для конечной точки MQTT, обновите mode параметр в параметрах TLS.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем установите флажок рядом с включенным режимом TLS.

Bicep

mqttSettings: {
  tls: {
    mode: 'Enabled' // or 'Disabled'
  }
}

Kubernetes (предварительная версия)

mqttSettings:
  tls:
    mode: Enabled # or Disabled

Для режима TLS можно задать Enabled или Disabled. Если задан Enabledрежим, поток данных использует безопасное подключение к брокеру MQTT. Если задан Disabledрежим, поток данных использует небезопасное подключение к брокеру MQTT.

Сертификат доверенного ЦС

Настройте доверенный сертификат ЦС для конечной точки MQTT, чтобы установить безопасное подключение к брокеру MQTT. Этот параметр важен, если брокер MQTT использует самозаверяющий сертификат или сертификат, подписанный пользовательским ЦС, который по умолчанию не является доверенным.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем используйте поле карты конфигурации сертификата доверенного ЦС, чтобы указать ConfigMap, содержащий сертификат доверенного ЦС.

Bicep

mqttSettings: {
  tls: {
    trustedCaCertificateConfigMapRef: '<YOUR_CA_CERTIFICATE>'
  }
}

Kubernetes (предварительная версия)

mqttSettings:
  tls:
    trustedCaCertificateConfigMapRef: <YOUR_CA_CERTIFICATE>

Этот ConfigMap должен содержать сертификат ЦС в формате PEM. ConfigMap должен находиться в том же пространстве имен, что и ресурс потока данных MQTT. Например:

kubectl create configmap client-ca-configmap --from-file root_ca.crt -n azure-iot-operations

---

Совет

При подключении к брокеру MQTT сетки событий сертификат ЦС не требуется, так как служба Центров событий использует сертификат, подписанный общедоступным ЦС, доверенным по умолчанию.

Префикс идентификатора клиента

Вы можете задать префикс идентификатора клиента для клиента MQTT. Идентификатор клиента создается путем добавления имени экземпляра потока данных в префикс.

Внимание

Большинство приложений не должны изменять префикс идентификатора клиента. Не изменяйте это после первоначального развертывания операций Интернета вещей. Изменение префикса идентификатора клиента после развертывания может привести к потере данных.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем используйте поле префикса идентификатора клиента, чтобы указать префикс .

Bicep

mqttSettings: {
  clientIdPrefix: '<YOUR_PREFIX>'
}

Kubernetes (предварительная версия)

mqttSettings:
  clientIdPrefix: <YOUR_PREFIX>

Качество обслуживания

Уровень качества обслуживания (QoS) можно задать для сообщений MQTT 1 или 0. Значение по умолчанию — 1.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем используйте поле "Качество обслуживания" (QoS), чтобы указать уровень качества обслуживания.

Bicep

mqttSettings: {
  qos: 1 // Or 0
}

Kubernetes (предварительная версия)

mqttSettings:
  qos: 1 # Or 0

Сохранять

retain Используйте параметр, чтобы указать, должен ли поток данных хранить флаг хранения в сообщениях MQTT. Значение по умолчанию — Keep.

Задайте для этого поля Keep значение, чтобы убедиться, что удаленный брокер содержит те же сообщения, что и локальный брокер, что может быть важно для сценариев единого пространства имен (UNS).

Если задано значение Never, флаг сохранения удаляется из сообщений MQTT. Это может быть полезно, если вы не хотите, чтобы удаленный брокер сохранял сообщения или если удаленный брокер не поддерживает сохранение.

Чтобы настроить параметры хранения, выполните следующие действия.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем используйте поле "Сохранить ", чтобы указать параметр сохранения.

Bicep

mqttSettings: {
  retain: Keep // or Never
}

Kubernetes (предварительная версия)

mqttSettings:
  retain: Keep # or Never

Параметр сохранения действует только в том случае, если поток данных использует конечную точку MQTT как источник, так и назначение. Например, в сценарии моста MQTT.

Внимание

Сетка событий Azure брокер MQTT в настоящее время не поддерживает флаг хранения. Это означает, что если для конечной точки брокера MQTT сетки событий задан флаг Keep хранения, а в качестве назначения они используются, сообщения отклоняются. Чтобы избежать этого, задайте флаг Never сохранения при использовании брокера MQTT Сетки событий в качестве назначения.

Срок действия сеанса

Интервал истечения срока действия сеанса можно задать для клиента MQTT потока данных. Интервал истечения срока действия сеанса — это максимальное время, когда сеанс MQTT поддерживается, если клиент потока данных отключается. По умолчанию используется значение "600 секунд". Чтобы настроить интервал истечения срока действия сеанса, выполните следующие действия.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем используйте поле "Срок действия сеанса ", чтобы указать интервал истечения срока действия сеанса.

Bicep

mqttSettings: {
  sessionExpirySeconds: 600
}

Kubernetes (предварительная версия)

mqttSettings:
  sessionExpirySeconds: 600

Протокол MQTT или WebSockets

По умолчанию WebSockets не включен. Чтобы использовать MQTT через WebSockets, задайте protocol для поля значение WebSockets.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем используйте поле "Протокол " для указания протокола.

Bicep

mqttSettings: {
  protocol: 'WebSockets'
}

Kubernetes (предварительная версия)

mqttSettings:
  protocol: WebSockets

Максимальное количество сообщений в полете

Можно задать максимальное количество сообщений в полете, которые может иметь клиент MQTT потока данных. Значение по умолчанию равно 100.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем используйте поле "Максимальное количество сообщений в полете", чтобы указать максимальное количество сообщений в полете.

Bicep

mqttSettings: {
  maxInflightMessages: 100
}

Kubernetes (предварительная версия)

mqttSettings:
  maxInflightMessages: 100

Для подписки, когда конечная точка MQTT используется в качестве источника, это максимальное значение получения. Для публикации, когда конечная точка MQTT используется в качестве назначения, это максимальное количество сообщений, отправляемых перед ожиданием подтверждения.

Проверка активности

Вы можете задать интервал поддержания активности для клиента MQTT потока данных. Интервал поддержания активности — это максимальное время, когда клиент потока данных может быть неактивен перед отправкой сообщения PINGREQ брокеру. Значение по умолчанию ― 60 секунд.

Портал

На странице параметров конечной точки потока данных операций выберите вкладку "Дополнительно ", а затем используйте поле "Сохранить жизнь ", чтобы указать интервал сохранения активности.

Bicep

mqttSettings: {
  keepAliveSeconds: 60
}

Kubernetes (предварительная версия)

mqttSettings:
  keepAliveSeconds: 60

Источники облачных

CloudEvents — это способ описания данных событий распространенным способом. Параметры CloudEvents используются для отправки или получения сообщений в формате CloudEvents. Вы можете использовать CloudEvents для архитектур на основе событий, где разные службы должны взаимодействовать друг с другом в одном или разных поставщиках облачных служб.

Параметры cloudEventAttributes илиPropagateCreateOrRemap. Чтобы настроить параметры CloudEvents, выполните следующие действия.

Портал

На странице параметров конечной точки потока данных для операций выберите вкладку "Дополнительно ", а затем используйте поле атрибутов событий CloudEvents, чтобы указать параметр CloudEvents.

Bicep

mqttSettings: {
  cloudEventAttributes : 'Propagate' // or 'CreateOrRemap'
}

Kubernetes (предварительная версия)

mqttSettings:
  cloudEventAttributes : Propagate # or CreateOrRemap

В следующих разделах содержатся дополнительные сведения о параметрах CloudEvents.

Параметр распространения

Свойства CloudEvent передаются для сообщений, содержащих необходимые свойства. Если сообщение не содержит необходимых свойств, сообщение передается как есть.

имени	Обязательное поле	Пример значения	Выходное значение
specversion	Да	1.0	Передается как
type	Да	ms.aio.telemetry	Передается как
source	Да	aio://mycluster/myoven	Передается как
id	Да	A234-1234-1234	Передается как
subject	No	aio/myoven/telemetry/temperature	Передается как
time	No	2018-04-05T17:31:00Z	Передается как есть. Это не отдохнулось.
datacontenttype	No	application/json	Изменен на тип содержимого выходных данных после необязательного этапа преобразования.
dataschema	No	sr://fabrikam-schemas/123123123234234234234234#1.0.0	Если в конфигурации преобразования выходных данных задана схема преобразования выходных данных, dataschema изменится на выходную схему.

Параметр CreateOrRemap

Свойства CloudEvent передаются для сообщений, содержащих необходимые свойства. Если сообщение не содержит обязательных свойств, создаются свойства.

имени	Обязательное поле	Созданное значение, если отсутствует
specversion	Да	1.0
type	Да	ms.aio-dataflow.telemetry
source	Да	aio://<target-name>
id	Да	Созданный UUID в целевом клиенте
subject	No	Выходной раздел, в котором отправляется сообщение
time	No	Создано как RFC 3339 в целевом клиенте
datacontenttype	No	Изменен на тип содержимого выходных данных после необязательного этапа преобразования
dataschema	No	Схема, определенная в реестре схем

Следующие шаги

Дополнительные сведения о потоках данных см. в статье "Создание потока данных".