Intégration de sécurité matérielle

Pour initialiser le module de sécurité matérielle

• Initialisez un jeton PKCS #11 dans le HSM et enregistrez l'ID de slot et le code PIN utilisateur associés au jeton. Consultez la documentation de votre HSM pour savoir comment initialiser un jeton. Vous utiliserez l'ID de slot et le code PIN de l'utilisateur ultérieurement lorsque vous déployez et configurez le composant fournisseur PKCS #11.

Pour mettre à jour la configuration sur le périphérique principal afin d'utiliser la sécurité matérielle

1. Arrêtez le logiciel AWS IoT Greengrass Core. Si vous avez configuré le logiciel AWS IoT Greengrass Core en tant que service système avec systemd, vous pouvez exécuter la commande suivante pour arrêter le logiciel.

   sudo systemctl stop greengrass.service

2. Trouvez la clé privée et les fichiers de certificat de l'appareil principal.

   • Si vous avez installé le logiciel AWS IoT Greengrass Core avec provisionnement automatique ou provisionnement de flotte, la clé privée existe à /greengrass/v2/privKey.key l'adresse et le certificat à l'adresse. /greengrass/v2/thingCert.crt

   • Si vous avez installé le logiciel AWS IoT Greengrass Core avec un provisionnement manuel, la clé privée existe /greengrass/v2/private.pem.key par défaut et le certificat existe /greengrass/v2/device.pem.crt par défaut.

   Vous pouvez également vérifier les system.certificateFilePath propriétés system.privateKeyPath et /greengrass/v2/config/effectiveConfig.yaml pour trouver l'emplacement de ces fichiers.

3. Importez la clé privée et le certificat dans le HSM. Consultez la documentation de votre HSM pour savoir comment y importer des clés privées et des certificats. Importez la clé privée et le certificat à l'aide de l'ID du slot et du code PIN utilisateur sur lesquels vous avez initialisé le jeton PKCS #11 plus tôt. Vous devez utiliser le même libellé et le même identifiant d'objet pour la clé privée et le même certificat. Enregistrez l'étiquette d'objet que vous spécifiez lors de l'importation de chaque fichier. Vous utiliserez cette étiquette ultérieurement lorsque vous mettrez à jour la configuration logicielle AWS IoT Greengrass principale pour utiliser la clé privée et le certificat du HSM.

4. Mettez à jour la configuration AWS IoT Greengrass principale pour utiliser la clé privée et le certificat dans le HSM. Pour mettre à jour la configuration, vous devez modifier le fichier de configuration AWS IoT Greengrass Core et exécuter le logiciel AWS IoT Greengrass Core avec le fichier de configuration mis à jour pour appliquer la nouvelle configuration.

   Procédez comme suit :

   1. Créez une sauvegarde du fichier de configuration AWS IoT Greengrass Core. Vous pouvez utiliser cette sauvegarde pour restaurer le périphérique principal si vous rencontrez des problèmes lors de la configuration de la sécurité matérielle.

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. Ouvrez le fichier de configuration AWS IoT Greengrass Core dans un éditeur de texte. Par exemple, vous pouvez exécuter la commande suivante pour utiliser GNU nano pour modifier le fichier. Remplacez /greengrass/v2 par le chemin d'accès au dossier racine de Greengrass.

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. Remplacez la valeur de system.privateKeyPath par l'URI PKCS #11 pour la clé privée dans le HSM. Remplacez iotdevicekey par le libellé de l'objet dans lequel vous avez importé la clé privée et le certificat précédemment.

      pkcs11:object=iotdevicekey;type=private

   4. Remplacez la valeur de system.certificateFilePath par l'URI PKCS #11 pour le certificat dans le HSM. Remplacez iotdevicekey par le libellé de l'objet dans lequel vous avez importé la clé privée et le certificat précédemment.

      pkcs11:object=iotdevicekey;type=cert

   Une fois ces étapes terminées, la system propriété du fichier de configuration AWS IoT Greengrass Core devrait ressembler à celle de l'exemple suivant.

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. Appliquez la configuration dans le effectiveConfig.yaml fichier mis à jour. Exécutez Greengrass.jar avec le --init-config paramètre pour appliquer la configuration danseffectiveConfig.yaml. Remplacez /greengrass/v2 par le chemin d'accès au dossier racine de Greengrass.

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. Démarrez le logiciel AWS IoT Greengrass Core. Si vous avez configuré le logiciel AWS IoT Greengrass Core en tant que service système avec systemd, vous pouvez exécuter la commande suivante pour démarrer le logiciel.

   sudo systemctl start greengrass.service

   Pour plus d’informations, consultez Exécutez le logiciel AWS IoT Greengrass Core.

7. Consultez les journaux du logiciel AWS IoT Greengrass Core pour vérifier que le logiciel démarre et se connecte auAWS Cloud. Le logiciel AWS IoT Greengrass Core utilise la clé privée et le certificat pour se connecter aux AWS IoT Greengrass services AWS IoT et.

   sudo tail -f /greengrass/v2/logs/greengrass.log

   Les messages du journal au niveau des informations suivants indiquent que le logiciel AWS IoT Greengrass Core se connecte correctement aux services AWS IoT etAWS IoT Greengrass.

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (Facultatif) Après avoir vérifié que le logiciel AWS IoT Greengrass Core fonctionne avec la clé privée et le certificat du HSM, supprimez les fichiers de clé privée et de certificat du système de fichiers de l'appareil. Exécutez la commande suivante et remplacez les chemins de fichiers par les chemins d'accès aux fichiers de clé privée et de certificat.

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt