Integration von Hardware-Sicherheit

Um das Hardware-Sicherheitsmodul zu initialisieren

• Initialisieren Sie ein PKCS #11 -Token im HSM und speichern Sie die Steckplatz-ID und die Benutzer-PIN für das Token. In der Dokumentation zu Ihrem HSM erfahren Sie, wie Sie ein Token initialisieren. Sie verwenden die Steckplatz-ID und die Benutzer-PIN später, wenn Sie die PKCS #11 -Anbieterkomponente bereitstellen und konfigurieren.

Um die Konfiguration auf dem Kerngerät zu aktualisieren, um Hardware-Sicherheit zu verwenden

1. Stoppen Sie die AWS IoT Greengrass Core-Software. Wenn Sie die AWS IoT Greengrass Core-Software als Systemdienst mit systemd konfiguriert haben, können Sie den folgenden Befehl ausführen, um die Software zu beenden.

   sudo systemctl stop greengrass.service

2. Suchen Sie den privaten Schlüssel und die Zertifikatsdateien des Kerngeräts.

   • Wenn Sie die AWS IoT Greengrass Core-Software mit automatischer Bereitstellung oder Flottenbereitstellung installiert haben, befindet sich der private Schlüssel unter /greengrass/v2/privKey.key und das Zertifikat unter. /greengrass/v2/thingCert.crt

   • Wenn Sie die AWS IoT Greengrass Core-Software mit manueller Bereitstellung installiert haben, ist der private Schlüssel /greengrass/v2/private.pem.key standardmäßig und das Zertifikat standardmäßig vorhanden. /greengrass/v2/device.pem.crt

   Sie können auch die system.certificateFilePath Eigenschaften system.privateKeyPath und überprüfen/greengrass/v2/config/effectiveConfig.yaml, um den Speicherort dieser Dateien zu ermitteln.

3. Importieren Sie den privaten Schlüssel und das Zertifikat in das HSM. In der Dokumentation zu Ihrem HSM erfahren Sie, wie Sie private Schlüssel und Zertifikate in das HSM importieren. Importieren Sie den privaten Schlüssel und das Zertifikat mit der Steckplatz-ID und der Benutzer-PIN, mit der Sie das PKCS #11 -Token zuvor initialisiert haben. Sie müssen dieselbe Objektbezeichnung und Objekt-ID für den privaten Schlüssel und das Zertifikat verwenden. Speichern Sie die Objektbezeichnung, die Sie beim Import der einzelnen Dateien angeben. Sie verwenden dieses Label später, wenn Sie die AWS IoT Greengrass Core-Softwarekonfiguration aktualisieren, um den privaten Schlüssel und das Zertifikat im HSM zu verwenden.

4. Aktualisieren Sie die AWS IoT Greengrass Core-Konfiguration, um den privaten Schlüssel und das Zertifikat im HSM zu verwenden. Um die Konfiguration zu aktualisieren, ändern Sie die AWS IoT Greengrass Core-Konfigurationsdatei und führen die AWS IoT Greengrass Core-Software mit der aktualisierten Konfigurationsdatei aus, um die neue Konfiguration anzuwenden.

   Gehen Sie wie folgt vor:

   1. Erstellen Sie eine Sicherungskopie der AWS IoT Greengrass Core-Konfigurationsdatei. Sie können dieses Backup verwenden, um das Kerngerät wiederherzustellen, falls Sie bei der Konfiguration der Hardwaresicherheit auf Probleme stoßen.

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. Öffnen Sie die AWS IoT Greengrass Core-Konfigurationsdatei in einem Texteditor. Sie können beispielsweise den folgenden Befehl ausführen, um die Datei mit GNU Nano zu bearbeiten. /greengrass/v2Ersetzen Sie durch den Pfad zum Greengrass-Stammordner.

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. Ersetzen Sie den Wert von system.privateKeyPath durch den PKCS #11 -URI für den privaten Schlüssel im HSM. iotdevicekeyErsetzen Sie ihn durch die Objektbezeichnung, in die Sie zuvor den privaten Schlüssel und das Zertifikat importiert haben.

      pkcs11:object=iotdevicekey;type=private

   4. Ersetzen Sie den Wert von system.certificateFilePath durch den PKCS #11 -URI für das Zertifikat im HSM. iotdevicekeyErsetzen Sie ihn durch die Objektbezeichnung, in die Sie zuvor den privaten Schlüssel und das Zertifikat importiert haben.

      pkcs11:object=iotdevicekey;type=cert

   Nachdem Sie diese Schritte abgeschlossen haben, sollte die system Eigenschaft in der AWS IoT Greengrass Core-Konfigurationsdatei dem folgenden Beispiel ähneln.

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. Wenden Sie die Konfiguration in der aktualisierten effectiveConfig.yaml Datei an. Führen Sie den Greengrass.jar Befehl mit dem --init-config Parameter aus, in dem die Konfiguration angewendet werden solleffectiveConfig.yaml. /greengrass/v2Ersetzen Sie durch den Pfad zum Greengrass-Stammordner.

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. Starten Sie die AWS IoT Greengrass Core-Software. Wenn Sie die AWS IoT Greengrass Core-Software als Systemdienst mit systemd konfiguriert haben, können Sie den folgenden Befehl ausführen, um die Software zu starten.

   sudo systemctl start greengrass.service

   Weitere Informationen finden Sie unter Führen Sie die AWS IoT Greengrass Core-Software aus.

7. Überprüfen Sie die AWS IoT Greengrass Core-Softwareprotokolle, um sicherzustellen, dass die Software gestartet wird und eine Verbindung zum AWS Cloud herstellt. Die AWS IoT Greengrass Core-Software verwendet den privaten Schlüssel und das Zertifikat, um eine Verbindung zu den AWS IoT und AWS IoT Greengrass -Diensten herzustellen.

   sudo tail -f /greengrass/v2/logs/greengrass.log

   Die folgenden Protokollmeldungen auf Infoebene weisen darauf hin, dass die AWS IoT Greengrass Core-Software erfolgreich eine Verbindung zu den AWS IoT AND-Diensten herstellt. AWS IoT Greengrass

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (Optional) Nachdem Sie überprüft haben, ob die AWS IoT Greengrass Core-Software mit dem privaten Schlüssel und dem Zertifikat im HSM funktioniert, löschen Sie den privaten Schlüssel und die Zertifikatsdateien aus dem Dateisystem des Geräts. Führen Sie den folgenden Befehl aus und ersetzen Sie die Dateipfade durch die Pfade zu den privaten Schlüssel- und Zertifikatsdateien.

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt