Tutorial: Proteja Nucleus Lite de AWS IoT Greengrass con Trusted Platform Module (TPM)

1. Configura una instancia de NitroTPM. Para obtener más información, consulte NitroTPM.

2. Lance la última instancia con la AMI personalizada creada en el paso anterior.

   importante

   Cuando se conecte con SSH, utilice el ubuntu usuario en lugar deroot.

3. Compruebe que el dispositivo TPM está presente y funciona ejecutando el siguiente comando:

   ls -la /dev/tpm*

   Deberías ver los /dev/tpm0 /dev/tpmrm0 dispositivos.

1. Instale los paquetes necesarios ejecutando el siguiente comando:

   sudo apt update
   sudo apt install tpm2-openssl tpm2-tools tpm2-abrmd libtss2-tcti-tabrmd0

2. Verifique los permisos del dispositivo TPM ejecutando el siguiente comando:

   ls -l /dev/tpm0    # Should be owned by tss:root with permissions 0660
   ls -l /dev/tpmrm0  # Should be owned by tss:tss with permissions 0660

1. Edite el archivo de configuración de OpenSSL:

   sudo vi /etc/ssl/openssl.cnf

2. Añada la siguiente configuración:

   [openssl_init]
   providers = provider_sect
   
   [provider_sect]
   default = default_sect
   tpm2 = tpm2_sect
   
   [default_sect]
   activate = 1
   
   [tpm2_sect]
   identity = tpm2
   module = /usr/local/lib64/tpm2.so
   activate = 1

3. Ajuste la ruta del módulo según sea necesario. Puede encontrar la ruta correcta mediante:

   find /usr -name "tpm2.so"

1. Cree una clave principal ejecutando el siguiente comando:

   sudo tpm2_createprimary -C o -c primary.ctx

2. Cree un objeto de clave ECC ejecutando el siguiente comando:

   sudo tpm2_create -C primary.ctx -g sha256 -G ecc256 -r device.priv -u device.pub

3. Cargue la clave ejecutando el siguiente comando:

   sudo tpm2_load -C primary.ctx -r device.priv -u device.pub -c device.ctx

4. Haz que la clave sea persistente ejecutando el siguiente comando:

   sudo tpm2_evictcontrol -C o -c device.ctx 0x81000002

   Esto crea una clave persistente con el identificador (tipo0x81000002).

1. Genere una CSR con la clave TPM:

   openssl req -new -provider tpm2 -key "handle:0x81000002" \
       -out device.csr \
       -subj "/CN=TPMThing"

2. 0x81000002Sustitúyala por el valor de identificador que hayas elegido y por el TPMThing nombre de la cosa que desees.

1. En tu ordenador de desarrollo, crea una carpeta donde descargaste el certificado de la AWS IoT cosa.

   mkdir greengrass-v2-certs

2. Utilice el archivo CSR para crear y descargar el certificado del dispositivo en AWS IoT su ordenador de desarrollo.

   aws iot create-certificate-from-csr \
     --set-as-active \
     --certificate-signing-request file://path_to_device.csr \
     --certificate-pem-outfile greengrass-v2-certs/device.pem.crt

   Si la solicitud se realiza correctamente, la respuesta tiene un aspecto similar al del siguiente ejemplo:

   {
   "certificateArn": "arn:aws:iot:us-west-2:123456789012:cert/aa0b7958770878eabe251d8a7ddd547f4889c524c9b574ab9fbf65f32248b1d4",
     "certificateId": "aa0b7958770878eabe251d8a7ddd547f4889c524c9b574ab9fbf65f32248b1d4",
     "certificatePem": "-----BEGIN CERTIFICATE-----
   MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w
    0BAQUFADCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZ
    WF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIw
    EAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5
    jb20wHhcNMTEwNDI1MjA0NTIxWhcNMTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBh
    MCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBb
    WF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMx
    HzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wgZ8wDQYJKoZIhvcNAQE
    BBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ21uUSfwfEvySWtC2XADZ4nB+BLYgVI
    k60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9TrDHudUZg3qX4waLG5M43q7Wgc/MbQ
    ITxOUSQv7c7ugFFDzQGBzZswY6786m86gpEIbb3OhjZnzcvQAaRHhdlQWIMm2nr
    AgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4nUhVVxYUntneD9+h8Mg9q6q+auN
    KyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0FkbFFBjvSfpJIlJ00zbhNYS5f6Guo
    EDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTbNYiytVbZPQUQ5Yaxu2jXnimvw
    3rrszlaEXAMPLE=
   -----END CERTIFICATE-----"
   }

Para habilitar la compatibilidad con TPM en Nucleus Lite de Greengrass, realice los siguientes cambios:

1. Configure los permisos de usuario añadiendo el ggcore usuario al tss grupo para el acceso al TPM:

   sudo usermod -a -G tss ggcore

2. Actualice el directorio de credenciales siguiendo estos pasos:

   • Elimine el archivo de clave privada del directorio de credenciales.

     • Como utilizamos claves TPM persistentes, no es necesario copiar ningún archivo de clave privada.

   • Copie la nueva device.pem.crt en ese directorio de credenciales.

3. config.yamlEdítelo con la siguiente configuración específica de TPM:

   system:
       privateKeyPath: "handle:0x81000002" # Use your chosen handle
       certificateFilePath: "" # Replace with the path of device.pem.crt
       ...

4. Reinicie su Greengrass Nucleus Lite ejecutando el siguiente comando:

   systemctl restart greengrass-lite.target

No se encuentra el dispositivo TPM (cuando se utiliza NitroTPM)

Si no /dev/tpm0 está presente, lleve a cabo los siguientes pasos:

1. Comprueba que utilizas un tipo de instancia compatible con NitrotPM.

2. Asegúrese de que la AMI se haya creado con--tpm-support v2.0.

3. Compruebe que la instancia se lanzó desde la AMI personalizada.

Errores de permiso denegado

Si encuentra errores de acceso al TPM, haga lo siguiente:

1. Compruebe que el usuario está en el tss grupo:groups $USER.

2. Compruebe los permisos del dispositivo TPM mediante el siguiente comando:

   ls -l /dev/tpm*

3. Compruebe que ha cerrado sesión y ha vuelto a iniciarla después de añadirla al tss grupo.

Problemas con el proveedor de OpenSSL

Si no encuentra el proveedor de TPM, haga lo siguiente:

1. Compruebe tpm2.so la ruta en. /etc/ssl/openssl.cnf

2. Compruebe la instalación del proveedor ejecutando el siguiente comando:

   openssl list -providers

3. Compruebe que el tpm2-openssl paquete esté instalado correctamente.