Self-managed firma del certificato utilizzando AWS IoT Core fornitore di certificati

È possibile creare un fornitore di AWS IoT Core certificati per firmare le richieste di firma dei certificati (CSR) nel provisioning del AWS IoT parco veicoli. Un fornitore di certificati fa riferimento a una funzione Lambda e all'API CreateCertificateFromCsr MQTT per il provisioning del parco veicoli. La funzione Lambda accetta un CSR e restituisce un certificato client firmato.

Quando non disponi di un fornitore di certificati Account AWS, nel fleet provisioning viene richiamata l'API CreateCertificateFromCsr MQTT per generare il certificato da un CSR. Dopo aver creato un provider di certificati, il comportamento dell'API CreateCertificateFromCsr MQTT cambierà e tutte le chiamate a questa API MQTT richiameranno il provider del certificato per emettere il certificato.

Con il fornitore di AWS IoT Core certificati, puoi implementare soluzioni che utilizzano autorità di certificazione (CA) private come altre CA pubblicamente attendibili o la tua infrastruttura a chiave pubblica (PKI) per firmare il CSR. AWS Private CA Inoltre, puoi utilizzare il fornitore di certificati per personalizzare i campi del certificato del tuo cliente, come periodi di validità, algoritmi di firma, emittenti ed estensioni.

Come funziona la firma autogestita dei certificati nel provisioning del parco veicoli

Concetti chiave

I concetti seguenti forniscono dettagli che possono aiutarti a capire come funziona la firma dei certificati autogestita nel AWS IoT provisioning del parco veicoli. Per ulteriori informazioni, consulta Provisioning dei dispositivi che non dispongono di certificati di dispositivo utilizzando il provisioning del parco veicoli.

Diagramma

Il diagramma seguente è un'illustrazione semplificata di come funziona la firma dell'autocertificazione nel AWS IoT provisioning del parco veicoli.

Input della funzione Lambda del fornitore del certificato

AWS IoT Core invia il seguente oggetto alla funzione Lambda quando un dispositivo si registra con essa. Il valore di certificateSigningRequest è il CSR in formato Privacy-Enhanced Mail (PEM) fornito nella richiesta. CreateCertificateFromCsr principalIdÈ l'ID del principale a cui ci si connette AWS IoT Core quando si effettua la CreateCertificateFromCsr richiesta. clientIdè l'ID client impostato per la connessione MQTT.

{
	"certificateSigningRequest": "string",
	"principalId": "string",
	"clientId": "string"
}

Valore restituito dalla funzione Lambda del fornitore del certificato

La funzione Lambda deve restituire una risposta che contenga il certificatePem valore. Di seguito è riportato un esempio di risposta riuscita. AWS IoT Core utilizzerà il valore restituito (certificatePem) per creare il certificato.

{
	"certificatePem": "string"
}

Se la registrazione ha esito positivo, CreateCertificateFromCsr restituirà lo stesso certificatePem nella CreateCertificateFromCsr risposta. Per ulteriori informazioni, vedere l'esempio del payload di risposta di CreateCertificateFromCsr.

Funzione Lambda di esempio

Prima di creare un fornitore di certificati, è necessario creare una funzione Lambda per firmare una CSR. Quello che segue è un esempio di funzione Lambda in Python. Questa funzione chiama AWS Private CA a firmare il CSR di input, utilizzando una CA privata e l'SHA256WITHRSAalgoritmo di firma. Il certificato cliente restituito sarà valido per un anno. Per ulteriori informazioni AWS Private CA e su come creare una CA privata, vedi Che cos'è una CA AWS privata? e Creazione di una CA privata.

import os
import time
import uuid
import boto3

def lambda_handler(event, context):
    ca_arn = os.environ['CA_ARN']
    csr = (event['certificateSigningRequest']).encode('utf-8')

    acmpca = boto3.client('acm-pca')
    cert_arn = acmpca.issue_certificate(
        CertificateAuthorityArn=ca_arn, 
        Csr=csr,
        Validity={"Type": "DAYS", "Value": 365}, 
        SigningAlgorithm='SHA256WITHRSA',
        IdempotencyToken=str(uuid.uuid4())
    )['CertificateArn']
    
    # Wait for certificate to be issued
    time.sleep(1)    
    cert_pem = acmpca.get_certificate(
        CertificateAuthorityArn=ca_arn,
        CertificateArn=cert_arn
    )['Certificate']
    
    return {
        'certificatePem': cert_pem
    }

Il seguente esempio di policy basata sulle risorse per Lambda concede l'autorizzazione a richiamare AWS IoT la funzione Lambda:

Self-managed firma del certificato per l'approvvigionamento della flotta

È possibile scegliere la firma dei certificati autogestita per il provisioning del parco veicoli utilizzando o. AWS CLI Console di gestione AWS

aws iot create-certificate-provider \
                --certificateProviderName my-certificate-provider \
                --lambdaFunctionArn arn:aws:lambda:us-east-1:123456789012:function:my-function-1 \
                --accountDefaultForOperations CreateCertificateFromCsr

{
	"certificateProviderName": "my-certificate-provider",
	"certificateProviderArn": "arn:aws:iot:us-east-1:123456789012:certificateprovider:my-certificate-provider"
}

AWS CLI comandi per il fornitore di certificati

Crea un fornitore di certificati

Per creare un fornitore di certificati, usa l'operazione CreateCertificateProvider API o il comando create-certificate-provider CLI.

aws iot create-certificate-provider \
                --certificateProviderName my-certificate-provider \
                --lambdaFunctionArn arn:aws:lambda:us-east-1:123456789012:function:my-function-1 \
                --accountDefaultForOperations CreateCertificateFromCsr

Di seguito viene mostrato un esempio di output per questo comando:

{
	"certificateProviderName": "my-certificate-provider",
	"certificateProviderArn": "arn:aws:iot:us-east-1:123456789012:certificateprovider:my-certificate-provider"
}

Per ulteriori informazioni, CreateCertificateProvider consultate l'AWS IoTAPI Reference.

Aggiorna il fornitore del certificato

Per aggiornare un fornitore di certificati, utilizzate l'operazione UpdateCertificateProvider API o il comando update-certificate-provider CLI.

aws iot update-certificate-provider \
                --certificateProviderName my-certificate-provider \
                --lambdaFunctionArn arn:aws:lambda:us-east-1:123456789012:function:my-function-2 \
                --accountDefaultForOperations CreateCertificateFromCsr

Di seguito viene mostrato un esempio di output per questo comando:

{
	"certificateProviderName": "my-certificate-provider",
	"certificateProviderArn": "arn:aws:iot:us-east-1:123456789012:certificateprovider:my-certificate-provider"
}

Per ulteriori informazioni, UpdateCertificateProvider consultate l'AWS IoTAPI Reference.

Descrizione del fornitore del certificato

Per descrivere un fornitore di certificati, usa l'operazione DescribeCertificateProvider API o il comando describe-certificate-provider CLI.

aws iot describe-certificate-provider --certificateProviderName my-certificate-provider

Di seguito viene mostrato un esempio di output per questo comando:

{
	"certificateProviderName": "my-certificate-provider",
	"lambdaFunctionArn": "arn:aws:lambda:us-east-1:123456789012:function:my-function",
	"accountDefaultForOperations": [
		"CreateCertificateFromCsr"
	],
	"creationDate": "2022-11-03T00:15",
	"lastModifiedDate": "2022-11-18T00:15"
}

Per ulteriori informazioni, DescribeCertificateProvider consultate l'AWS IoTAPI Reference.

Elimina il fornitore del certificato

Per eliminare un fornitore di certificati, utilizzate l'operazione DeleteCertificateProvider API o il comando delete-certificate-provider CLI. Se elimini la risorsa del fornitore di certificati, il comportamento di CreateCertificateFromCsr riprenderà e AWS IoT creerà certificati firmati AWS IoT da un CSR.

aws iot delete-certificate-provider --certificateProviderName my-certificate-provider

Il comando non produce output.

Per ulteriori informazioni, consulta DeleteCertificateProvider l'AWS IoTAPI Reference.

Elenca il fornitore di certificati

Per elencare i fornitori di certificati presenti nel tuo Account AWS, usa l'operazione ListCertificateProviders API o il comando list-certificate-providers CLI.

aws iot list-certificate-providers

Quanto segue mostra un esempio di output per questo comando:

{
	"certificateProviders": [
		{
			"certificateProviderName": "my-certificate-provider",
			"certificateProviderArn": "arn:aws:iot:us-east-1:123456789012:certificateprovider:my-certificate-provider"
		}
	]
}

Per ulteriori informazioni, ListCertificateProvider consultate l'AWS IoTAPI Reference.