硬體安全整合

初始化硬體安全模組

• 在 HSM 中初始化 PKCS#11 字符，並儲存該字符的槽 ID 和使用者 PIN。檢查 HSM 的文件，了解如何初始化權杖。您稍後在部署和設定 PKCS#11 提供者元件時，會使用槽 ID 和使用者 PIN 碼。

更新核心裝置上的組態以使用硬體安全性

1. 停止 AWS IoT Greengrass 核心軟體。如果您將 AWS IoT Greengrass Core 軟體設定為系統化的系統服務，您可以執行下列命令來停止軟體。

   sudo systemctl stop greengrass.service

2. 尋找核心裝置的私有金鑰和憑證檔案。

   • 如果您使用自動佈建或機群佈建安裝 AWS IoT Greengrass Core 軟體，私有金鑰存在於 /greengrass/v2/privKey.key，而憑證存在於 /greengrass/v2/thingCert.crt。

   • 如果您使用手動佈建安裝 AWS IoT Greengrass Core 軟體，則/greengrass/v2/private.pem.key預設情況下私有金鑰位於 ，且/greengrass/v2/device.pem.crt憑證預設存在於 。

   您也可以在 中檢查 system.privateKeyPath和 system.certificateFilePath 屬性/greengrass/v2/config/effectiveConfig.yaml，以尋找這些檔案的位置。

3. 將私有金鑰和憑證匯入 HSM。檢查您的 HSM 文件，了解如何將私有金鑰和憑證匯入其中。使用您先前初始化 PKCS#11 字符的槽 ID 和使用者 PIN 來匯入私有金鑰和憑證。您必須為私有金鑰和憑證使用相同的物件標籤和物件 ID。儲存您在匯入每個檔案時指定的物件標籤。您稍後更新 AWS IoT Greengrass 核心軟體組態以使用 HSM 中的私有金鑰和憑證時，會使用此標籤。

4. 更新 AWS IoT Greengrass 核心組態，以在 HSM 中使用私有金鑰和憑證。若要更新組態，請修改 AWS IoT Greengrass 核心組態檔案，並使用更新的組態檔案執行 AWS IoT Greengrass 核心軟體，以套用新的組態。

   請執行下列操作：

   1. 建立 AWS IoT Greengrass 核心組態檔案的備份。如果您在設定硬體安全性時遇到問題，您可以使用此備份來還原核心裝置。

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. 在文字編輯器中開啟 AWS IoT Greengrass 核心組態檔案。例如，您可以執行下列命令，使用 GNU nano 編輯檔案。/greengrass/v2 將 取代為 Greengrass 根資料夾的路徑。

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. 將 的值取代system.privateKeyPath為 HSM 中私有金鑰的 PKCS#11 URI。將 iotdevicekey 取代為您先前匯入私有金鑰和憑證的物件標籤。

      pkcs11:object=iotdevicekey;type=private

   4. 將 的值取代system.certificateFilePath為 HSM 中憑證的 PKCS#11 URI。將 iotdevicekey 取代為您先前匯入私有金鑰和憑證的物件標籤。

      pkcs11:object=iotdevicekey;type=cert

   完成這些步驟後， AWS IoT Greengrass 核心組態檔案中的 system 屬性看起來應該類似下列範例。

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. 在更新的effectiveConfig.yaml檔案中套用組態。Greengrass.jar 使用 --init-config 參數執行 ，以在 中套用組態effectiveConfig.yaml。/greengrass/v2 將 取代為 Greengrass 根資料夾的路徑。

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. 啟動 AWS IoT Greengrass Core 軟體。如果您將 AWS IoT Greengrass Core 軟體設定為具有系統化 的系統服務，您可以執行下列命令來啟動軟體。

   sudo systemctl start greengrass.service

   如需詳細資訊，請參閱執行 AWS IoT Greengrass Core 軟體。

7. 檢查 AWS IoT Greengrass 核心軟體日誌，以確認軟體啟動並連線至 AWS 雲端。Core AWS IoT Greengrass 軟體使用私有金鑰和憑證來連線至 AWS IoT 和 AWS IoT Greengrass 服務。

   sudo tail -f /greengrass/v2/logs/greengrass.log

   下列 INFO 層級日誌訊息表示 AWS IoT Greengrass Core 軟體已成功連線至 AWS IoT 和服務 AWS IoT Greengrass 。

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. （選用） 驗證 AWS IoT Greengrass Core 軟體是否可與 HSM 中的私有金鑰和憑證搭配使用後，請從裝置的檔案系統刪除私有金鑰和憑證檔案。執行下列命令，並以私有金鑰和憑證檔案的路徑取代檔案路徑。

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt