使用 TPM 大規模建立和佈建 IoT Edge for Linux on Windows 裝置

適用於： IoT Edge 1.1

重要

IoT Edge 1.1 終止支援日期為 2022 年 12 月 13 日。 如需此產品、服務、技術或 API 的支援資訊，請參閱 Microsoft 產品生命週期。 如需更新至最新版IoT Edge的詳細資訊，請參閱 更新IoT Edge。

本文使用信任平台模組 (TPM) 來提供自動佈建 Azure IoT Edge for Linux on Windows 裝置的指示。 您可以使用 Azure IoT 中樞裝置佈建服務自動佈建 Azure IoT Edge 裝置。 如果您不熟悉自動佈建程序，請先檢閱佈建概觀再繼續。

本文概述兩種方法。 請根據您的解決方案架構選取您的喜好設定：

• 使用實體 TPM 硬體在 Windows 裝置上自動佈建 Linux。
• 使用模擬 TPM 在 Windows 裝置上自動佈建 Linux。 我們僅建議將此方法作為測試案例。 模擬 TPM 不會提供與實體 TPM 相同的安全性。

工作如下所示：

實體 TPM

• 安裝 IoT Edge for Linux on Windows。
• 從您的裝置擷取 TPM 資訊。
• 建立裝置的個別註冊。
• 使用裝置的 TPM 資訊佈建您的裝置。

模擬 TPM

• 安裝 IoT Edge for Linux on Windows。
• 設定您的虛擬 TPM 並擷取其佈建資訊。
• 建立裝置的個別註冊。
• 使用裝置的 TPM 資訊佈建您的裝置。

必要條件

雲端資源

• 使用中的 IoT 中樞
• Azure 中的 IoT 中樞裝置佈建服務執行個體，其與您的 IoT 中樞連結
  • 如果您沒有裝置佈建服務執行個體，則可以遵循 IoT 中樞裝置佈建服務快速入門建立新的 IoT 中樞裝置佈建服務和連結 IoT 中樞與裝置佈建服務章節的指示。
  • 裝置佈建服務開始執行之後，請從 [概觀] 頁面中複製 [識別碼範圍] 的值。 當您設定 IoT Edge 執行階段時會用到此值。

裝置需求

符合下列最低需求的 Windows 裝置：

• 系統需求

  • Windows 10¹/11 (專業版、企業版、IoT 企業版)
  • Windows Server 2019¹/2022
    _{¹ Windows 10 和 Windows Server 2019 最低組建為 17763 版，且須安裝所有截至目前所有更新。}

• 硬體需求

  • 最小可用記憶體：1 GB
  • 最小可用磁碟空間：10 GB

• 虛擬化支援

  • 在 Windows 10 上，啟用 Hyper-V。 如需詳細資訊，請參閱在 Windows 10 上安裝 Hyper-V。
  • 在 Windows Server 上安裝 Hyper-V 角色，並建立預設的網路交換器。 如需詳細資訊，請參閱 Azure IoT Edge for Linux on Windows 的巢狀虛擬化。
  • 在虛擬機器上設定巢狀虛擬化。 如需詳細資訊，請參閱巢狀虛擬化。

• 網路支援

  • Windows Server 不會隨附預設交換器。 您需要先建立虛擬交換器，才能將 EFLOW 部署至 Windows Server 裝置。 如需詳細資訊，請參閱在 Windows 上建立適用於 Linux 的虛擬交換器。
  • Windows 桌面版隨附可用於安裝 EFLOW 的預設交換器。 如有需要，您可以建立自己的自訂虛擬交換器。

提示

如果您想要在 Azure IoT Edge for Linux on Windows 部署上使用 GPU 加速 Linux 模組，有多種設定選項可供考慮。

您將需要根據 GPU 架構來安裝正確的驅動程式，而且可能需要存取 Windows 測試人員計畫組建。 若要判斷您的設定需求並滿足這些必要條件，請參閱適用於 Azure IoT Edge for Linux on Windows 的 GPU 加速。

請確保您花點時間滿足 GPU 加速的必要條件。 如果您決定要在安裝期間啟用 GPU 加速，則需要重新啟動安裝流程。

開發人員工具

您可以使用 PowerShell 或 Windows Admin Center 來管理 IoT Edge 裝置。 每個公用程式都有自己的必要條件：

PowerShell

如果您想要使用 PowerShell，請使用下列步驟來準備目標裝置，以在 Windows 上安裝適用於 Linux 的 Azure IoT Edge，以及部署 Linux 虛擬機：

1. 將目標裝置上的執行原則設定為 AllSigned。 您可以使用下列命令，在提升權限的 PowerShell 提示字元中檢查目前的執行原則：

   Get-ExecutionPolicy -List
   

   如果 local machine 的執行原則不是 AllSigned，則您可以使用下列項目來設定執行原則：

   Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
   

如需 Azure IoT Edge for Linux on Windows PowerShell 模組的詳細資訊，請參閱 PowerShell 函式參考。

Windows Admin Center

如果您想要使用 Windows Admin Center，請使用下列步驟來下載並安裝 Windows Admin Center 並安裝 Windows Admin Center Azure IoT Edge 擴充功能：

1. 下載並執行 Windows Admin Center 安裝程式。 遵循安裝精靈提示來安裝 Windows Admin Center。

2. 安裝之後，請使用支援的瀏覽器開啟 Windows Admin Center。 支援的瀏覽器包括 Microsoft Edge（Windows 10 版本 1709 或更新版本）、Google Chrome 和 Microsoft Edge 測試人員。

3. 在第一次使用 Windows Admin Center 時，系統會提示您選取要使用的憑證。 選取 [Windows Admin Center 用戶端 ] 作為您的憑證。

4. 安裝 Azure IoT Edge 擴充功能。 選取 Windows Admin Center 儀錶板右上方的齒輪圖示。

   

5. 在 [設定] 功能表上的 [網關] 底下，選取 [擴充功能]。

6. 在 [ 可用的擴充功能] 索引標籤上，於擴充功能清單中尋找 Azure IoT Edge 。 選擇它，然後選取延伸模組清單上方的 [ 安裝 ] 提示。

7. 安裝完成之後，您應該會在 [已安裝的擴充功能] 索引標籤上，看到已安裝延伸模塊清單中的 Azure IoT Edge。

注意

當您搭配裝置佈建服務並使用 TPM 證明時，需要 TPM 2.0。

當您使用 TPM 時，僅可建立個別裝置佈建服務註冊，無法建立群組裝置佈建服務註冊。

安裝 IoT Edge

在目標裝置上部署 Azure IoT Edge for Linux on Windows。

PowerShell

在您的目標裝置上安裝適用於Linux的IoT Edge。

注意

下列 PowerShell 流程概述如何將 IoT Edge for Linux on Windows 部署至本機裝置。 若要使用 PowerShell 部署至遠端目標裝置，您可以使用遠端 PowerShell 建立遠端裝置的連線，並在該裝置上遠端執行這些命令。

1. 在提升權限的 PowerShell 工作階段中，執行下列每個命令以下載 IoT Edge for Linux on Windows。

   $msiPath = $([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))
   $ProgressPreference = 'SilentlyContinue'
   Invoke-WebRequest "https://aka.ms/AzEflowMSI" -OutFile $msiPath
   

2. 在您的裝置上安裝 IoT Edge for Linux on Windows。

   Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn"
   

   您可以將 INSTALLDIR="<FULLY_QUALIFIED_PATH>" 和 VHDXDIR="<FULLY_QUALIFIED_PATH>" 參數新增至安裝命令，以指定自訂安裝 IoT Edge for Linux on Windows 和 VHDX 目錄。 例如，如果您想要使用 D:\EFLOW 資料夾進行安裝，並將 D:\EFLOW-VHDX 用於安裝 VHDX，您可以使用下列的 PowerShell Cmdlet。

   Start-Process -Wait msiexec -ArgumentList "/i","$([io.Path]::Combine($env:TEMP, 'AzureIoTEdge.msi'))","/qn","INSTALLDIR=D:\EFLOW", "VHDXDIR=D:\EFLOW-VHDX"
   

3. 如果尚未執行，請將目標裝置上的執行原則設定為 AllSigned。 請參閱命令的 PowerShell 必要條件，以檢查目前的執行原則，並將執行原則設定為 AllSigned。

4. 建立 IoT Edge for Linux on Windows 部署。 部署會建立 Linux 虛擬機器，並為您安裝 IoT Edge 執行階段。

   Deploy-Eflow
   

   提示

   根據預設，Deploy-Eflow 命令會建立具有 1 GB RAM、1 個 vCPU 核心和 16 GB 磁碟空間的 Linux 虛擬機器。 不過，VM 所需的資源與您部署的工作負載高度相關。 如果您的 VM 沒有足夠的記憶體可支援您的工作負載，將無法啟動。

   您可以使用 Deploy-Eflow 命令的選擇性參數來自訂虛擬機器的可用資源。

   例如，下列命令會建立具有 4 個 vCPU 核心的虛擬機、4 GB 的 RAM（以 MB 表示），以及 20 GB 的磁碟空間：

   Deploy-Eflow -cpuCount 4 -memoryInMB 4096 -vmDiskSize 20
   

   如需所有可用的選擇性參數資訊，請參閱適用於 IoT Edge for Linux on Windows 的 PowerShell 函數。

   警告

   根據預設，EFLOW Linux 虛擬機器沒有 DNS 設定。 使用 DHCP 的部署會嘗試取得 DHCP 伺服器傳播的 DNS 設定。 請檢查您的 DNS 設定，以確保網際網路連線能力。 如需詳細資訊，請參閱 AzEFLOW-DNS。

   您可以將 GPU 指派給部署，以啟用 GPU 加速的 Linux 模組。 若要獲取這些功能的存取權，您必須安裝適用於 Azure IoT Edge for Linux on Windows 的 GPU 加速中詳述的必要條件。

   若要使用 GPU 傳遞，請將 gpuName、gpuPassthroughType 和 gpuCount 參數新增至 Deploy-Eflow 命令。 如需所有可用的選擇性參數資訊，請參閱適用於 IoT Edge for Linux on Windows 的 PowerShell 函數。

   警告

   啟用硬體裝置傳遞可能會增加安全性風險。 當適用時，Microsoft 會建議使用來自 GPU 廠商的裝置風險降低驅動程式。 如需詳細資訊，請參閱使用離散裝置指派來部署圖表裝置。

5. 輸入「Y」以接受授權條款。

6. 請根據您的喜好設定，輸入「O」或「R」來切換 [選擇性診斷資料] 開啟或關閉。

7. 部署完成後，PowerShell 視窗會報告 [部署成功]。

   

   成功部署之後，您即可佈建裝置。

Windows Admin Center

注意

適用於 Windows Admin Center 的 Azure IoT Edge 擴充功能目前為 公開預覽狀態。 管理程式可能與一般可用的功能不同。

1. 安裝 並開啟 Windows Admin Center。

   在 Windows Admin Center 起始頁面上，您會在連線清單下看到本機主機連線，代表您執行 Windows Admin Center 的電腦。 您管理的任何其他伺服器、計算機或叢集也會顯示在這裡。

   您可以使用 Windows Admin Center 在本機裝置或遠端受控裝置上管理 Windows 上的適用於 Linux 的 Azure IoT Edge。 在本指南中，本機主機連線將作為在 Windows 上部署 Azure IoT Edge for Linux 的目標裝置。

2. 確認您的本機裝置列在 [所有連線] 底下，如下所示。

   

   如果您想要部署至遠端目標裝置，而不是本機裝置，而且清單中看不到所需的目標裝置，請遵循 指示來新增您的裝置。

3. 選取 [+ 新增 ] 以開始建立您的部署。 部署會建立 Linux 虛擬機器，並為您安裝 IoT Edge 執行階段。

4. 在 [ 新增或建立資源 ] 窗格中，找出 [Azure IoT Edge ] 圖格。 選取 [新建 ] 以在裝置上的 Windows 上安裝適用於 Linux 的新 Azure IoT Edge 實例。

   如果您在裝置上執行的 Windows 上已經有適用於 Linux 的 IoT Edge，您可以選取 [ 新增 ] 以連線到該現有的 IoT Edge 裝置，並使用 Windows Admin Center 加以管理。

   

5. [ 在 Windows 部署 ] 窗格上建立適用於 Linux 的 Azure IoT Edge 將會開啟。 在 1。[開始使用] 索引 標籤，檢閱最低需求，然後選取 [ 下一步]。

6. 檢閱授權條款、檢查 [ 我接受]，然後選取 [ 下一步]。

7. 視喜好設定而定，您可以開啟 或關閉選擇性診斷數據 。

8. 選取 [ 下一步：部署]。

   

9. 在 2。[部署] 索引標籤，在 [選取目標裝置] 底下，按兩下您列出的裝置來驗證它符合最低需求。 確認其狀態為支持之後，請選取 [ 下一步]。

   

10. 在 [ 2.2 設定 ] 索引標籤上，檢閱部署的組態設定。 下表顯示設定及其預設值。

    設定	預設值
    以 GB 為單位的虛擬磁碟大小	16
    以 MB 為單位的記憶體（偶數）	1024
    核心數目	2
    Azure IoT Edge 版本	1.1 （LTS）

    注意

    Windows 上的 IoT Edge for Linux 會使用預設交換器，將 Linux 虛擬機指派內部 IP 位址。 無法從 Windows 電腦外部連線到此內部 IP 位址。 登入 Windows 電腦時，您可以在本機連線到虛擬機。

    如果您使用 Windows Server，請先設定預設參數，再於 Windows 上部署適用於 Linux 的 IoT Edge。

    您可以將 GPU 指派給部署，以啟用 GPU 加速的 Linux 模組。 若要獲取這些功能的存取權，您必須安裝適用於 Azure IoT Edge for Linux on Windows 的 GPU 加速中詳述的必要條件。 如果您目前只在部署程式中安裝這些必要條件，您必須從頭重新開始。

    GPU 傳遞有兩個選項可用： 直接裝置指派 （DDA） 和 GPU Paravirtualization （GPU-PV），視您指派給部署的 GPU 配接器而定。

    針對直接裝置指派方法，選取要配置給Linux虛擬機的 GPU 處理器數目。

    針對半虛擬化方法，不需要其他設定。

    警告

    啟用硬體裝置傳遞可能會增加安全性風險。 當適用時，Microsoft 會建議使用來自 GPU 廠商的裝置風險降低驅動程式。 如需詳細資訊，請參閱使用離散裝置指派來部署圖表裝置。

    一旦您滿意設定，請選取 [ 下一步]。

11. 在 [ 2.3 部署 ] 索引標籤上，您可以監看部署的進度。 完整程式包括下載 Windows 套件上的 Azure IoT Edge for Linux、安裝套件、設定主機裝置，以及設定 Linux 虛擬機。 此流程可能需要幾分鐘的時間才能完成。 成功的部署如下圖所示。

    

12. 部署完成後，您就可以布建裝置。 選取 [下一步：連線 ] 以繼續進行 3。[連線 ] 索引標籤，可處理 Azure IoT Edge 裝置佈建。

有一些步驟可讓您的裝置做好準備，以使用 TPM 進行佈建。 準備裝置時，請讓部署保持開啟狀態。 您稍後會在文章中返回部署中。

啟用 TPM 傳遞

IoT Edge for Linux on Windows VM 可啟用或停用 TPM 功能。 預設此功能為停用。 啟用此功能時，VM 可存取主機電腦的 TPM。

1. 在提高權限工作階段中開啟 PowerShell。

2. 如果您尚未進行，請在您的裝置上將執行原則設定為 AllSigned，讓您得以在 IoT Edge for Linux on Windows PowerShell 函式上執行。

   Set-ExecutionPolicy -ExecutionPolicy AllSigned -Force
   

3. 開啟 TPM 功能。

   Set-EflowVmFeature -feature 'DpsTpm' -enable
   

從您的裝置擷取 TPM 資訊

實體 TPM

若要佈建裝置，您需要 TPM 晶片的簽署金鑰，以及裝置的註冊識別碼。 您可將此資訊提供給裝置佈建服務的執行個體，以便在其嘗試連線時讓服務得以辨識裝置。

簽署金鑰針對各 TPM 晶片唯一。 此金鑰會透過與其相關聯的 TPM 晶片製造商取得。 例如，您可以建立簽署金鑰的 SHA-256 雜湊，來衍生 TPM 裝置的註冊識別碼。

IoT Edge for Linux on Windows 提供 PowerShell 指令碼，協助從 TPM 擷取此資訊。 若要使用指令碼，請在裝置上遵循下列步驟：

1. 在提高權限工作階段中開啟 PowerShell。

2. 執行 命令。

   Get-EflowVmTpmProvisioningInfo | Format-List
   

模擬 TPM

若您沒有實體 TPM 可用，並想要測試此佈建方式，可在裝置上模擬 TPM。

IoT 中樞裝置佈建服務提供範例模擬 TPM，並為您傳回簽署金鑰和註冊識別碼。

1. 根據您的慣用語言，從下列清單中選擇其中一個範例。
2. 您執行模擬 TPM 且收集簽署金鑰和註冊識別碼後，可停止遵循裝置佈建服務範例步驟。 請勿選取 Enter 以在範例應用程式中執行註冊。
3. 讓裝載模擬 TPM 的視窗持續執行，直到您完成測試此案例為止。
4. 回到本文，以建立裝置佈建服務註冊並設定您的裝置。

模擬 TPM 範例：

• C
• Java
• C#
• Node.js
• Python

建立裝置佈建服務註冊

使用 TPM 的佈建資訊，在裝置佈建服務中建立個別註冊。

在裝置佈建服務中建立註冊時，您就有機會宣告初始裝置對應項狀態。 在裝置對應項中，您可以根據解決方案中使用的任何計量 (例如區域、環境、位置或裝置類型) 來設定標記，來將裝置分組。 這些標記會用來建立自動部署。

提示

本文中的步驟適用於 Azure 入口網站，但您也可以使用 Azure CLI 建立個別註冊。 如需詳細資訊，請參閱 az iot dps enrollment。 CLI 命令中會使用啟用 Edge 旗標來指定 IoT Edge 裝置的註冊。

1. 在 Azure 入口網站中，前往 IoT 中樞裝置佈建服務的執行個體。

2. 在 [設定] 下方，選取 [管理註冊]。

3. 選取 [新增個別註冊]，然後完成下列步驟以設定註冊：

   1. 針對 [機制]，選取 [TPM]。

   2. 提供您從 VM 或實體裝置複製的簽署金鑰和註冊識別碼。

   3. 視需要提供裝置的識別碼。 如果您未提供裝置識別碼，則會使用註冊識別碼。

   4. 選取 [True] 以宣告您的 VM 或實體裝置為 IoT Edge 裝置。

   5. 選擇您要將裝置連線到的連結 IoT 中樞，或選取 [連結到新的 IoT 中樞]。 您可以選擇多個中樞，然後系統會根據所選取的指派原則，將裝置指派給其中一個中樞。

   6. 視需要將標記值新增至 [初始裝置對應項狀態]。 您可以使用標記將裝置群組設定為模組部署的目標。 如需詳細資訊，請參閱大規模部署 IoT Edge 模組。

   7. 選取 [儲存]。

現在此裝置已有註冊，因此 IoT Edge 執行階段可以在安裝期間自動佈建此裝置。

使用雲端身分識別來佈建裝置

PowerShell

1. 在 Windows 裝置上開啟提升權限的 PowerShell 工作階段。

2. 使用您從裝置佈建服務執行個體收集的範圍識別碼，來佈建您的裝置。

   Provision-EflowVM -provisioningType "DpsTpm" -scopeId "SCOPE_ID_HERE"
   

   如果您已使用自訂的註冊識別碼註冊裝置，則必須在佈建時指定該註冊識別碼：

   Provision-EflowVM -provisioningType "DpsTpm" -scopeId "SCOPE_ID_HERE" -registrationId "REGISTRATION_ID_HERE"
   

Windows Admin Center

1. 在 [連線] 步驟中，布建您的裝置。

   1. 選取 DpsTpm 布建方法。

   2. 提供您從裝置布建服務的實例擷取的範圍標識碼。

      

2. 使用 選取的方法選取 [布建]。

3. 在裝置上成功安裝並布建 IoT Edge 之後，選取 [ 完成 ] 以結束部署精靈。

確認安裝成功

確認已成功在 IoT Edge 裝置上安裝並設定 IoT Edge for Linux on Windows。

如果執行階段順利啟動，您可以移至 IoT 中樞，並開始將 IoT Edge 模組部署到您的裝置。

您可以驗證系統是否已使用您在裝置佈建服務中所建立的個別註冊。 移至 Azure 入口網站中您的裝置佈建服務執行個體。 開啟所建立個別註冊的註冊詳細資料。 請注意，註冊狀態是已指派，並且會列出裝置識別碼。

PowerShell

請在您的裝置上使用下列命令，確認 IoT Edge 已成功安裝並啟動。

1. 使用 PowerShell 工作階段中的下列命令，連線到 IoT Edge for Linux on Windows VM：

   Connect-EflowVm
   

   注意

   唯一允許透過 SSH 連線到 VM 的帳戶是建立該 VM 的使用者。

2. 登入之後，您可以使用下列 Linux 命令來檢查執行 IoT Edge 模組的清單：

   sudo iotedge list
   

3. 如果您需要針對 IoT Edge 服務進行疑難排解，請使用下列 Linux 命令。

   1. 如果您需要對服務進行疑難排解，請擷取服務記錄。

      sudo journalctl -u iotedge
      

   2. 使用 check 工具來驗證裝置的設定和連線狀態。

      sudo iotedge check
      

   注意

   在新佈建的裝置上，您可能會看到與 IoT Edge 中樞相關的錯誤：

   × 實際執行整備程度：Edge Hub 的儲存體目錄會保存在主機檔案系統上 - 錯誤

   無法檢查 edgeHub 容器的目前狀態

   新佈建的裝置上預期會發生此錯誤，因為 IoT Edge 中樞模組未在執行中。 若要解決錯誤，請在 IoT 中樞內設定裝置的模組並建立部署。 建立裝置的部署會啟動裝置上的模組，包括 IoT Edge 中樞模組。

Windows Admin Center

1. 從 Windows Admin Center 中連線的裝置清單中選取您的 IoT Edge 裝置，以連線到該裝置。

2. 裝置概觀頁面會顯示裝置的一些資訊：

   • [IoT Edge 模組清單] 區段會顯示在裝置上執行中的模組。 第一次啟動IoT Edge服務時，您應該只會看到 edgeAgent 模組正在執行。 edgeAgent 模組預設會執行，並協助安裝和啟動您部署至裝置的任何其他模組。
   • [IoT Edge 狀態] 區段會顯示服務狀態，且應該報告作用中（執行中）。

解除安裝 IoT Edge for Linux on Windows

如果您想要從裝置中移除 Azure IoT Edge for Linux on Windows，則請使用下列命令。

1. 開啟 Windows 上的 [設定]
2. 選取 [新增或移除程式]
3. 選取 [Azure IoT Edge LTS] 應用程式
4. 選取 [解除安裝]

下一步

佈建新裝置時，裝置佈建服務註冊程序可讓您同時設定裝置識別碼和裝置對應項標記。 您可以使用自動裝置管理來使用這些值鎖定個別裝置或裝置群組。

了解如何使用 Azure 入口網站大規模部署和監視 IoT Edge 模組，或使用 Azure CLI 執行相同作業。