Integrasi keamanan perangkat keras

Untuk menginisialisasi modul keamanan perangkat keras

• Inisialisasi token PKCS #11 di HSM, dan simpan ID slot dan PIN pengguna untuk token. Periksa dokumentasi untuk HSM Anda untuk mempelajari cara menginisialisasi token. Anda menggunakan ID slot dan PIN pengguna nanti saat Anda men-deploy dan mengkonfigurasi komponen penyedia PKCS #11.

Untuk memperbarui konfigurasi pada perangkat inti untuk menggunakan keamanan perangkat keras

1. Hentikan perangkat lunakAWS IoT Greengrass Core. Jika Anda mengkonfigurasi perangkat lunakAWS IoT Greengrass Core sebagai layanan sistem dengan systemd, Anda dapat menjalankan perintah berikut untuk menghentikan perangkat lunak.

   sudo systemctl stop greengrass.service

2. Temukan kunci pribadi dan file sertifikat perangkat inti.

   • Jika Anda menginstal perangkat lunakAWS IoT Greengrass Core dengan penyediaan otomatis atau penyediaan armada, kunci pribadi ada di/greengrass/v2/privKey.key, dan sertifikat ada di/greengrass/v2/thingCert.crt.

   • Jika Anda menginstal perangkat lunakAWS IoT Greengrass Inti dengan penyediaan manual, kunci pribadi ada secara/greengrass/v2/private.pem.key default, dan sertifikat ada secara/greengrass/v2/device.pem.crt default.

   Anda juga dapat memeriksasystem.privateKeyPath dansystem.certificateFilePath properti di/greengrass/v2/config/effectiveConfig.yaml untuk menemukan lokasi file-file ini.

3. Impor kunci pribadi dan sertifikat ke dalam HSM. Periksa dokumentasi untuk HSM Anda untuk mempelajari cara mengimpor kunci pribadi dan sertifikat ke dalamnya. Impor kunci privat dan sertifikat menggunakan ID slot dan PIN pengguna tempat Anda menginisialisasi token PKCS #11 sebelumnya. Anda harus menggunakan label objek dan ID objek yang sama untuk kunci pribadi dan sertifikat. Simpan label objek yang Anda tentukan saat Anda mengimpor setiap file. Anda menggunakan label ini nanti ketika Anda memperbarui konfigurasi perangkat lunakAWS IoT Greengrass Core untuk menggunakan kunci pribadi dan sertifikat di HSM.

4. Perbarui konfigurasiAWS IoT Greengrass Core untuk menggunakan kunci pribadi dan sertifikat di HSM. Untuk memperbarui konfigurasi, Anda memodifikasi file konfigurasiAWS IoT Greengrass Core dan menjalankan perangkat lunakAWS IoT Greengrass Core dengan file konfigurasi yang diperbarui untuk menerapkan konfigurasi baru.

   Lakukan hal berikut:

   1. Buat cadangan file konfigurasiAWS IoT Greengrass Core. Anda dapat menggunakan cadangan ini untuk memulihkan perangkat inti jika mengalami masalah saat mengonfigurasi keamanan perangkat keras.

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. Buka file konfigurasiAWS IoT Greengrass Core dalam editor teks. Misalnya, Anda dapat menjalankan perintah berikut untuk menggunakan GNU nano untuk mengedit file. Ganti /greengrass/v2 dengan jalur menuju folder akar Greengrass.

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. Ganti nilaisystem.privateKeyPath dengan URI PKCS #11 untuk kunci privat di HSM. Ganti iotdevicekey dengan label objek tempat Anda mengimpor kunci pribadi dan sertifikat sebelumnya.

      pkcs11:object=iotdevicekey;type=private

   4. Ganti nilaisystem.certificateFilePath dengan URI PKCS #11 untuk sertifikat di HSM. Ganti iotdevicekey dengan label objek tempat Anda mengimpor kunci pribadi dan sertifikat sebelumnya.

      pkcs11:object=iotdevicekey;type=cert

   Setelah Anda menyelesaikan langkah-langkah ini,system properti dalam file konfigurasiAWS IoT Greengrass Core akan terlihat mirip dengan contoh berikut.

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. Terapkan konfigurasi dalameffectiveConfig.yaml file yang diperbarui. JalankanGreengrass.jar dengan--init-config parameter untuk menerapkan konfigurasi dieffectiveConfig.yaml. Ganti /greengrass/v2 dengan jalur menuju folder akar Greengrass.

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. Mulai perangkat lunakAWS IoT Greengrass Core. Jika Anda mengkonfigurasi perangkat lunakAWS IoT Greengrass Core sebagai layanan sistem dengan systemd, Anda dapat menjalankan perintah berikut untuk memulai perangkat lunak.

   sudo systemctl start greengrass.service

   Untuk informasi selengkapnya, lihat Jalankan perangkat lunak inti AWS IoT Greengrass.

7. Periksa log perangkat lunakAWS IoT Greengrass inti untuk memverifikasi bahwa perangkat lunak dimulai dan terhubung keAWS Cloud. Perangkat lunakAWS IoT Greengrass Core menggunakan kunci pribadi dan sertifikat untuk terhubung keAWS IoT danAWS IoT Greengrass layanan.

   sudo tail -f /greengrass/v2/logs/greengrass.log

   Pesan log Info-level berikut menunjukkan bahwa perangkat lunakAWS IoT Greengrass Core berhasil terhubung keAWS IoT danAWS IoT Greengrass layanan.

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (Opsional) Setelah Anda memverifikasi bahwa perangkat lunakAWS IoT Greengrass Inti berfungsi dengan kunci pribadi dan sertifikat di HSM, hapus kunci pribadi dan file sertifikat dari sistem file perangkat. Jalankan perintah berikut, dan ganti path file dengan path ke kunci pribadi dan file sertifikat.

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt