硬體安全整合

初始化硬體安全模組

• 在 HSM 中初始化 PKCS #11 權杖，並儲存該權杖的插槽識別碼和使用者 PIN 碼。請查看 HSM 的文件以了解如何初始化權杖。稍後部署和設定 PKCS #11 提供者元件時，您可以使用插槽識別碼和使用者 PIN 碼。

更新核心裝置上的組態以使用硬體安全性

1. 停止AWS IoT Greengrass核心軟體。如果您使用 systemd 將 AWS IoT GreengrassCore 軟體設定為系統服務，則可以執行下列命令來停止軟體。

   sudo systemctl stop greengrass.service

2. 尋找核心裝置的私密金鑰和憑證檔案。

   • 如果您使用自動佈建或叢集佈建來安裝 AWS IoT Greengrass Core 軟體，則私密金鑰會存在於/greengrass/v2/privKey.key，且憑證存在於/greengrass/v2/thingCert.crt。

   • 如果您以手動佈建方式安裝 AWS IoT Greengrass Core 軟體，則預設會存在/greengrass/v2/private.pem.key私密金鑰，且憑證/greengrass/v2/device.pem.crt預設存在。

   您也可以入庫納管system.privateKeyPath和system.certificateFilePath性質，/greengrass/v2/config/effectiveConfig.yaml以尋找這些檔案的位置。

3. 將私密金鑰和憑證匯入 HSM。請查看 HSM 的文件，了解如何將私密金鑰和憑證匯入其中。使用先前初始化 PKCS #11 權杖的插槽識別碼和使用者 PIN 碼匯入私密金鑰和憑證。私密金鑰和憑證必須使用相同的物件標籤和物件 ID。儲存匯入每個檔案時指定的物件標籤。稍後當您更新AWS IoT Greengrass核心軟體組態以使用 HSM 中的私密金鑰和憑證時，您可以使用此標籤。

4. 更新AWS IoT Greengrass核心組態以使用 HSM 中的私密金鑰和憑證。若要更新組態，請修改 AWS IoT Greengrass Core 組態檔案，並使用更新的組態檔執行 AWS IoT Greengrass Core 軟體，以套用新的組態。

   請執行下列操作：

   1. 創建AWS IoT Greengrass核心配置文件的備份。如果您在設定硬體安全性時遇到問題，可以使用此備份來還原核心裝置。

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. 在文字編輯器中開啟 AWS IoT Greengrass Core 組態檔案。例如，您可以執行下列命令來使用 GNU nano 來編輯檔案。取代/greengrass/v2為 Greengrass 根資料夾的路徑。

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. 將的值取代為 system.privateKeyPath HSM 中私密金鑰的 PKCS #11 URI。將 iotdevicekey 取代為您先前匯入私密金鑰和憑證的物件標籤。

      pkcs11:object=iotdevicekey;type=private

   4. 將的值取代為 HSM 中憑證的 PKCS #11 URI。system.certificateFilePath將 iotdevicekey 取代為您先前匯入私密金鑰和憑證的物件標籤。

      pkcs11:object=iotdevicekey;type=cert

   完成這些步驟之後，AWS IoT GreengrassCore 配置檔案中的system屬性看起來應該類似於下列範例。

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. 在更新的檔effectiveConfig.yaml案中套用組態。Greengrass.jar使用要在中套用組態的--init-config參數執行effectiveConfig.yaml。取代/greengrass/v2為 Greengrass 根資料夾的路徑。

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. 啟動AWS IoT Greengrass核心軟體。如果您使用 systemd 將 AWS IoT GreengrassCore 軟體設定為系統服務，則可以執行下列命令來啟動軟體。

   sudo systemctl start greengrass.service

   如需詳細資訊，請參閱 執行AWS IoT Greengrass核心軟體。

7. 檢查AWS IoT Greengrass核心軟體記錄檔，確認軟體是否啟動並連線至AWS 雲端. AWS IoT Greengrass核心軟體會使用私密金鑰和憑證來連線到AWS IoT和AWS IoT Greengrass服務。

   sudo tail -f /greengrass/v2/logs/greengrass.log

   下列資訊層級記錄訊息指出 AWS IoT Greengrass Core 軟體已成功連線到AWS IoT和AWS IoT Greengrass服務。

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (選擇性) 確認 AWS IoT Greengrass Core 軟體可與 HSM 中的私密金鑰和憑證搭配使用後，請從裝置的檔案系統中刪除私密金鑰和憑證檔案。執行下列命令，並以私密金鑰和憑證檔案的路徑取代檔案路徑。

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt