자습서: 신뢰할 수 AWS IoT Greengrass 있는 플랫폼 모듈(TPM)로 보호

다음 명령을 실행하여 패키지 관리자를 업데이트하고 TPM2 도구 및 종속성을 설치합니다.

sudo apt-get update && sudo apt-get install tpm2-tools \
tpm2-abrmd \
tpm2-tss-engine-tools \
gnutls-bin \
libtpm2-pkcs11-1 \
libtpm2-pkcs11-tools \
libtpm2-pkcs11-1-dev \
python3-tpm2-pkcs11-tools \
libengine-pkcs11-openssl \
libtss2-tcti-tabrmd0
                

OpenSSL 엔진 3을 사용하는 Ubuntu 24.04에 OpenSSL TPM2 공급자 패키지를 설치합니다.

sudo apt-get install tpm2-openssl

데이터를 저장할 디렉터리를 생성합니다.

sudo mkdir -p /etc/tpm2_pkcs11
                

스토리지 위치를 환경 변수로 설정합니다. 스토어 계층 구조에 대한 자세한 내용은 초기화를 참조하세요.

export TPM2_PKCS11_STORE=/etc/tpm2_store
                

기본 객체로 TPM2 토큰을 초기화합니다.

sudo tpm2_ptool init
                

사용 가능한 옵션은 다음과 같습니다.

PKCS#11 토큰을 생성합니다.

sudo tpm2_ptool addtoken —pid=1 —userpin=USERPIN —sopin=SOPIN —label=greengrass
                

사용 가능한 옵션은 다음과 같습니다.

ECC 키 객체를 생성합니다.

sudo tpm2_ptool addkey —algorithm=ecc256 —label=greengrass —userpin=****** —key-label=greenkey
                

토큰에서 TPM2-TSS 객체를 내보내 인증 데이터를 캡처합니다.

yaml_ecc0=$(sudo tpm2_ptool export —label="greengrass" —key-label="greenkey" —userpin="******")
                

출력 예시:

> echo $yaml_ecc0
object-auth: 706c1cad8a5238871b30149705255926
primary-object:
  auth: ''
  hierarchy: owner
  is_transient: false
                

TSS 프라이빗 키의 인증 데이터를 캡처합니다.

auth_ecc0=$(echo "$yaml_ecc0" | grep "object-auth" | cut -d' ' -f2-)

TPM2 공급자를 사용하여 CSR을 생성합니다.

sudo openssl req -new -provider tpm2 -provider base -key greenkey.pem -passin "pass:$auth_ecc0" -out "$H"$HOSTNAME".csr
                

메시지가 표시되면 다음을 포함하여 CSR에 필요한 정보를 제공합니다.

또는 무인 생성을 위한 OpenSSL 구성 파일을 제공할 수 있습니다. 자세한 내용은 OpenSSL 설명서를 참조하세요.

동일한 시스템에서 CSR을 생성하지 않는 경우 생성된 CSR을 AWS 자격 증명이 구성된 시스템에 복사합니다.

사물 인증서를 디바이스에 복사합니다.

Greengrass 토큰에 사물 인증서를 추가합니다.

sudo tpm2_ptool addcert --label=greengrass --key-label=greenkey device.pem.crt

사용 가능한 옵션은 다음과 같습니다.

Greengrass 토큰의 토큰 URL을 캡처합니다.

TOKEN=sudo p11tool --list-token-urls | grep "token=greengrass"

Greengrass 토큰의 객체 URLs을 가져옵니다. 3단계에서 사용한 것과 동일한 핀을 사용합니다.

sudo p11tool --login --list-all "${TOKEN}"

출력 예시:

Token 'greengrass' with URL 'pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass' requires user PIN
Enter PIN:
WARNING: Needed CKA_VALUE but didn't find encrypted blob
Object 0:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=private
        Type: Private key (EC/ECDSA-SECP256R1)
        Label: greenkey
        Flags: CKA_PRIVATE; CKA_NEVER_EXTRACTABLE; CKA_SENSITIVE;
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

Object 1:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=public
        Type: Public key (EC/ECDSA-SECP256R1)
        Label: greenkey
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

Object 2:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=cert
        Type: X.509 Certificate (EC/ECDSA-SECP256R1)
        Expires: Fri Dec 31 18:59:59 2049
        Label: greenkey
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

프라이빗 키 및 인증서의 객체 URL을 캡처합니다.

사물 인증서를 구성합니다. 자세한 내용은 사물 인증서 구성을 참조하세요.

의 HSM에서 프라이빗 키와 인증서를 사용하여 AWS IoT Greengrass 코어 소프트웨어를 설치하는 지침을 완료합니다AWS IoT Greengrass 코어 소프트웨어 설치. 그런 다음 다음 단계에 따라 PKCS#11 인터페이스를 통해 TPM2를 활용하도록 설치를 구성합니다.

PKCS#11 공급자 구성 요소가 다운로드되어 Greengrass 설치 관리자 위치에 저장되었는지 확인합니다.

텍스트 편집기를 사용하여 config.yaml 구성 파일을 생성하고 설치 관리자에 제공합니다. 예를 들어 Linux 기반 시스템에서 다음 명령을 실행하여 GNUnano를 사용하여 파일을 생성할 수 있습니다.

nano GreengrassInstaller/config.yaml

다음 YAML 내용을 파일에 복사합니다. 이 부분 구성 파일은 시스템 파라미터, Greengrass nucleus 파라미터 및 PKCS#11 공급자 파라미터를 지정합니다.

---
system:
  certificateFilePath: "pkcs11:model=SW%20%20%20TPM%00%00%00%00%00%00%00%00;manufacturer=IBM;serial=0000000000000000;token=greengrass;id=%34%35;object=greenkey;type=cert"
  privateKeyPath: "pkcs11:model=SW%20%20%20TPM%00%00%00%00%00%00%00%00;manufacturer=IBM;serial=0000000000000000;token=greengrass;id=%34%35;object=greenkey;type=private"
  rootCaPath: "/greengrass/v2/AmazonRootCA1.pem"
  rootpath: "/greengrass/v2"
  thingName: "myThing"
services:
  aws.greengrass.Nucleus:
    componentType: "NUCLEUS"
    version: "2.14.0"
    configuration:
      awsRegion: "us-east-1"
      iotRoleAlias: "GreengrassCoreTokenExchangeRoleAlias"
      iotDataEndpoint: "device-data-prefix-ats.iot.us-west-2.amazonaws.com"
      iotCredEndpoint: "device-credentials-prefix.credentials.iot.us-west-2.amazonaws.com"
  aws.greengrass.crypto.Pkcs11Provider:
    configuration:
      name: "tpm2_pkcs11"
      library: "/usr/lib/x86_64-linux-gnu/pkcs11/libtpm2_pkcs11.so"
      slot: 1
      userPin: "123456"

설치에 특정한 파라미터로 파일을 편집합니다.

에서 Greengrass 설치 단계를 완료합니다AWS IoT Greengrass 코어 소프트웨어 설치.

Greengrass 서비스 상태를 확인합니다.

sudo systemctl status greengrass.service

Greengrass 로그를 보고 오류가 없는지 확인합니다.

sudo tail -f /greengrass/v2/logs/greengrass.log

디바이스가 AWS IoT 콘솔에 연결된 것으로 나타나는지 확인합니다.