Integration von Hardware-Sicherheit

So initialisieren Sie das Hardware-Sicherheitsmodul

• Initialisieren Sie ein PKCS#11-Token im HSM und speichern Sie die Slot-ID und die Benutzer-PIN für das Token. In der Dokumentation zu Ihrem HSM erfahren Sie, wie Sie ein Token initialisieren. Sie verwenden die Slot-ID und die Benutzer-PIN später, wenn Sie die PKCS#11-Anbieterkomponente bereitstellen und konfigurieren.

So aktualisieren Sie die Konfiguration auf dem Core-Gerät, um die Hardwaresicherheit zu verwenden

1. Halten Sie die AWS IoT Greengrass Core-Software an. Wenn Sie die AWS IoT Greengrass Core-Software als Systemservice mit systemd konfiguriert haben, können Sie den folgenden Befehl ausführen, um die Software zu beenden.

   sudo systemctl stop greengrass.service

2. Suchen Sie den privaten Schlüssel und die Zertifikatsdateien des Core-Geräts.

   • Wenn Sie die -AWS IoT GreengrassCore-Software mit automatischer Bereitstellung oder Flottenbereitstellung installiert haben, existiert der private Schlüssel unter /greengrass/v2/privKey.keyund das Zertifikat existiert unter /greengrass/v2/thingCert.crt.

   • Wenn Sie die -AWS IoT GreengrassCore-Software mit manueller Bereitstellung installiert haben, ist der private Schlüssel /greengrass/v2/private.pem.key standardmäßig bei vorhanden und das Zertifikat ist /greengrass/v2/device.pem.crt standardmäßig bei vorhanden.

   Sie können auch die system.certificateFilePath Eigenschaften system.privateKeyPath und in überprüfen/greengrass/v2/config/effectiveConfig.yaml, um den Speicherort dieser Dateien zu finden.

3. Importieren Sie den privaten Schlüssel und das Zertifikat in das HSM. In der Dokumentation für Ihr HSM erfahren Sie, wie Sie private Schlüssel und Zertifikate in dieses importieren. Importieren Sie den privaten Schlüssel und das Zertifikat mit der Slot-ID und der Benutzer-PIN, in der Sie das PKCS#11-Token zuvor initialisiert haben. Sie müssen dieselbe Objektbezeichnung und Objekt-ID für den privaten Schlüssel und das Zertifikat verwenden. Speichern Sie die Objektbezeichnung, die Sie beim Importieren jeder Datei angeben. Sie verwenden diese Bezeichnung später, wenn Sie die AWS IoT Greengrass Core-Softwarekonfiguration aktualisieren, um den privaten Schlüssel und das Zertifikat im HSM zu verwenden.

4. Aktualisieren Sie die AWS IoT Greengrass Core-Konfiguration, um den privaten Schlüssel und das Zertifikat im HSM zu verwenden. Um die Konfiguration zu aktualisieren, ändern Sie die AWS IoT Greengrass Core-Konfigurationsdatei und führen die AWS IoT Greengrass Core-Software mit der aktualisierten Konfigurationsdatei aus, um die neue Konfiguration anzuwenden.

   Gehen Sie wie folgt vor:

   1. Erstellen Sie eine Sicherung der AWS IoT Greengrass Core-Konfigurationsdatei. Sie können diese Sicherung verwenden, um das Core-Gerät wiederherzustellen, wenn bei der Konfiguration der Hardwaresicherheit Probleme auftreten.

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. Öffnen Sie die AWS IoT Greengrass Core-Konfigurationsdatei in einem Texteditor. Sie können beispielsweise den folgenden Befehl ausführen, um die Datei mit GNU Nano zu bearbeiten. Ersetzen Sie /greengrass/v2 durch den Pfad zum Greengrass-Stammordner.

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. Ersetzen Sie den Wert von system.privateKeyPath durch den PKCS#11-URI für den privaten Schlüssel im HSM. Ersetzen Sie iotdevicekey durch die Objektbezeichnung, in die Sie den privaten Schlüssel und das Zertifikat zuvor importiert haben.

      pkcs11:object=iotdevicekey;type=private

   4. Ersetzen Sie den Wert von system.certificateFilePath durch den PKCS#11-URI für das Zertifikat im HSM. Ersetzen Sie iotdevicekey durch die Objektbezeichnung, in die Sie den privaten Schlüssel und das Zertifikat zuvor importiert haben.

      pkcs11:object=iotdevicekey;type=cert

   Nachdem Sie diese Schritte abgeschlossen haben, sollte die -systemEigenschaft in der AWS IoT Greengrass Core-Konfigurationsdatei dem folgenden Beispiel ähneln.

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. Wenden Sie die Konfiguration in der aktualisierten effectiveConfig.yaml Datei an. Führen Sie Greengrass.jar mit dem --init-config Parameter aus, um die Konfiguration in anzuwendeneffectiveConfig.yaml. Ersetzen Sie /greengrass/v2 durch den Pfad zum Greengrass-Stammordner.

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. Starten Sie die -AWS IoT GreengrassCore-Software. Wenn Sie die AWS IoT Greengrass Core-Software als Systemservice mit systemd konfiguriert haben, können Sie den folgenden Befehl ausführen, um die Software zu starten.

   sudo systemctl start greengrass.service

   Weitere Informationen finden Sie unter Ausführen der AWS IoT Greengrass -Core-Software.

7. Überprüfen Sie die AWS IoT Greengrass-Core-Softwareprotokolle, um zu überprüfen, ob die Software gestartet wird und eine Verbindung mit der herstelltAWS Cloud. Die AWS IoT Greengrass -Core-Software verwendet den privaten Schlüssel und das Zertifikat, um eine Verbindung zu den - AWS IoT und -AWS IoT GreengrassServices herzustellen.

   sudo tail -f /greengrass/v2/logs/greengrass.log

   Die folgenden Protokollmeldungen auf INFO-Ebene zeigen an, dass die -AWS IoT GreengrassCore-Software erfolgreich eine Verbindung zu den - AWS IoT und -AWS IoT GreengrassServices herstellt.

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (Optional) Nachdem Sie überprüft haben, ob die AWS IoT Greengrass -Core-Software mit dem privaten Schlüssel und dem Zertifikat im HSM funktioniert, löschen Sie den privaten Schlüssel und die Zertifikatsdateien aus dem Dateisystem des Geräts. Führen Sie den folgenden Befehl aus und ersetzen Sie die Dateipfade durch die Pfade zum privaten Schlüssel und zu den Zertifikatsdateien.

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt