モジュール 7: ハードウェアセキュリティ統合のシミュレーション

root ユーザーに切り替えます。

sudo su

手動のページを使って、システム全体の softhsm2.conf の場所を見つけます。一般的な場所は /etc/softhsm/softhsm2.conf ですが、システムによって異なる場合があります。

man softhsm2.conf

システム全体の場所に softhsm2 構成ファイル用のディレクトリを作成します。この例では、場所が /etc/softhsm/softhsm2.conf であることを前提としています。

mkdir -p /etc/softhsm

トークンディレクトリを /greengrass ディレクトリに作成します。

mkdir -p /greengrass/softhsm2/tokens

トークンディレクトリを設定します。

echo "directories.tokendir = /greengrass/softhsm2/tokens" > /etc/softhsm/softhsm2.conf

ファイルベースのバックエンドを設定します。

echo "objectstore.backend = file" >> /etc/softhsm/softhsm2.conf

SoftHSM トークンを初期化します。

softhsm2-util --init-token --slot 0 --label greengrass --so-pin 12345 --pin 1234

softhsm2-util --init-token --free --label greengrass --so-pin 12345 --pin 1234

プライベートキーを、SoftHSM インポートツールで使用できる形式に変換します。このチュートリアルでは、モジュール 2 の入門チュートリアルで取り上げた [Default Group creation] (デフォルトグループの作成) オプションを使って取得したプライベートキーを変換します。

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in hash.private.key -out hash.private.pem

プライベートキーを SoftHSM にインポートする ご使用の softhsm2-util のバージョンに応じて、以下のコマンドを 1 つだけ実行します。

このコマンドは、スロットを 0 と識別し、キーラベルを iotkey と定義します。これらの値は、次のセクションで使用します。

システム上の SoftHSM プロバイダーライブラリ (libsofthsm2.so) へのパスを見つけます。

1. インストールされているライブラリのパッケージのリストを取得します。

   sudo dpkg -L libsofthsm2

   libsofthsm2.so ファイルは softhsm ディレクトリにあります。

2. このファイルへの完全パス (/usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so など) をコピーします。この値は後で使用します。

Greengrass デーモンを停止します。

cd /greengrass/ggc/core/
sudo ./greengrassd stop

Greengrass 設定ファイルを開きます。これは、/greengrass/config ディレクトリにある config.json ファイルです。

crypto.principals オブジェクトに、以下の MQTT サーバー証明書オブジェクトを挿入します。有効な JSON ファイルを作成するために必要な場所にカンマを追加します。

  "MQTTServerCertificate": {
    "privateKeyPath": "path-to-private-key"
  }

crypto オブジェクトに、次の PKCS11 オブジェクトを挿入します。有効な JSON ファイルを作成するために必要な場所にカンマを追加します。

  "PKCS11": {
    "P11Provider": "/path-to-pkcs11-provider-so",
    "slotLabel": "crypto-token-name",
    "slotUserPin": "crypto-token-user-pin"
  }

ファイルは以下のようになります。

{
  "coreThing" : {
    "caPath" : "root.ca.pem",
    "certPath" : "hash.cert.pem",
    "keyPath" : "hash.private.key",
    "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
    "iotHost" : "host-prefix.iot.region.amazonaws.com",
    "ggHost" : "greengrass.iot.region.amazonaws.com",
    "keepAlive" : 600
  },
  "runtime" : {
    "cgroup" : {
      "useSystemd" : "yes"
    }
  },
  "managedRespawn" : false,
  "crypto": {
    "PKCS11": {
      "P11Provider": "/path-to-pkcs11-provider-so",
      "slotLabel": "crypto-token-name",
      "slotUserPin": "crypto-token-user-pin"
    },
    "principals" : {
      "MQTTServerCertificate": {
        "privateKeyPath": "path-to-private-key"
      },
      "IoTCertificate" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key",
        "certificatePath" : "file:///greengrass/certs/hash.cert.pem"
      },
      "SecretsManager" : {
        "privateKeyPath" : "file:///greengrass/certs/hash.private.key"
      }
    },    
    "caPath" : "file:///greengrass/certs/root.ca.pem"
  }
}

crypto オブジェクトを編集します。

1. PKCS11 オブジェクトを設定します。

   • [P11Provider] に libsofthsm2.so への完全パスを入力します。

   • [slotLabel] に「greengrass」と入力します。

   • [slotUserPin] に「1234」と入力します。

2. principals オブジェクトでプライベートキーへのパスを設定します。certificatePath プロパティは編集しないでください。

   • privateKeyPath プロパティに、以下の RFC 7512 PKCS#11 パス (キーのラベル) を入力します。IoTCertificate、SecretsManager、MQTTServerCertificate のプリンシパルに対してこの操作を行います。

     pkcs11:object=iotkey;type=private

3. crypto オブジェクトを確認します。これは次のように表示されます。

     "crypto": {
       "PKCS11": {
         "P11Provider": "/usr/lib/x86_64-linux-gnu/softhsm/libsofthsm2.so",
         "slotLabel": "greengrass",
         "slotUserPin": "1234"
       },
       "principals": {
         "MQTTServerCertificate": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "SecretsManager": {
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         },
         "IoTCertificate": {
           "certificatePath": "file://certs/core.crt",
           "privateKeyPath": "pkcs11:object=iotkey;type=private"
         }
       },
       "caPath": "file://certs/root.ca.pem"
     }

coreThing オブジェクトから caPath、certPath、keyPath 値を削除します これは次のように表示されます。

"coreThing" : {
  "thingArn" : "arn:partition:iot:region:account-id:thing/core-thing-name",
  "iotHost" : "host-prefix-ats.iot.region.amazonaws.com",
  "ggHost" : "greengrass-ats.iot.region.amazonaws.com",
  "keepAlive" : 600
}