チュートリアル: 信頼できるプラットフォームモジュール (TPM) で AWS IoT Greengrass Nucleus Lite を保護する

1. NitroTPM インスタンスをセットアップします。詳細については、「NitroTPM」を参照してください。

2. 前のステップで作成したカスタム AMI を使用して最終インスタンスを起動します。

   重要

   SSH で接続する場合は、 の代わりに ubuntu ユーザーを使用しますroot。

3. 次のコマンドを実行して、TPM デバイスが存在し、動作していることを確認します。

   ls -la /dev/tpm*

   /dev/tpm0 と /dev/tpmrm0 デバイスが表示されます。

1. 次のコマンドを実行して、必要なパッケージをインストールします。

   sudo apt update
   sudo apt install tpm2-openssl tpm2-tools tpm2-abrmd libtss2-tcti-tabrmd0

2. 次のコマンドを実行して、TPM デバイスのアクセス許可を確認します。

   ls -l /dev/tpm0    # Should be owned by tss:root with permissions 0660
   ls -l /dev/tpmrm0  # Should be owned by tss:tss with permissions 0660

1. OpenSSL 設定ファイルを編集します。

   sudo vi /etc/ssl/openssl.cnf

2. 次の設定を追加します。

   [openssl_init]
   providers = provider_sect
   
   [provider_sect]
   default = default_sect
   tpm2 = tpm2_sect
   
   [default_sect]
   activate = 1
   
   [tpm2_sect]
   identity = tpm2
   module = /usr/local/lib64/tpm2.so
   activate = 1

3. 必要に応じてモジュールパスを調整します。正しいパスを見つけるには、以下を使用します。

   find /usr -name "tpm2.so"

1. 次のコマンドを実行して、プライマリキーを作成します。

   sudo tpm2_createprimary -C o -c primary.ctx

2. 次のコマンドを実行して ECC キーオブジェクトを作成します。

   sudo tpm2_create -C primary.ctx -g sha256 -G ecc256 -r device.priv -u device.pub

3. 次のコマンドを実行してキーをロードします。

   sudo tpm2_load -C primary.ctx -r device.priv -u device.pub -c device.ctx

4. 次のコマンドを実行して、キーを永続的にします。

   sudo tpm2_evictcontrol -C o -c device.ctx 0x81000002

   これにより、ハンドル ( など0x81000002) を持つ永続キーが作成されます。

1. TPM キーを使用して CSR を生成します。

   openssl req -new -provider tpm2 -key "handle:0x81000002" \
       -out device.csr \
       -subj "/CN=TPMThing"

2. 0x81000002 を選択したハンドル値に、 を目的のモノの名前TPMThingに置き換えます。

1. 開発用コンピュータで、 AWS IoT モノの証明書をダウンロードしたフォルダを作成します。

   mkdir greengrass-v2-certs

2. CSR ファイルを使用して、 AWS IoT モノの証明書を作成し、開発用コンピュータにダウンロードします。

   aws iot create-certificate-from-csr \
     --set-as-active \
     --certificate-signing-request file://path_to_device.csr \
     --certificate-pem-outfile greengrass-v2-certs/device.pem.crt

   リクエストが正常に処理された場合、レスポンスは次の例のようになります。

   {
   "certificateArn": "arn:aws:iot:us-west-2:123456789012:cert/aa0b7958770878eabe251d8a7ddd547f4889c524c9b574ab9fbf65f32248b1d4",
     "certificateId": "aa0b7958770878eabe251d8a7ddd547f4889c524c9b574ab9fbf65f32248b1d4",
     "certificatePem": "-----BEGIN CERTIFICATE-----
   MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w
    0BAQUFADCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZ
    WF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIw
    EAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5
    jb20wHhcNMTEwNDI1MjA0NTIxWhcNMTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBh
    MCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBb
    WF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMx
    HzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wgZ8wDQYJKoZIhvcNAQE
    BBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ21uUSfwfEvySWtC2XADZ4nB+BLYgVI
    k60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9TrDHudUZg3qX4waLG5M43q7Wgc/MbQ
    ITxOUSQv7c7ugFFDzQGBzZswY6786m86gpEIbb3OhjZnzcvQAaRHhdlQWIMm2nr
    AgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4nUhVVxYUntneD9+h8Mg9q6q+auN
    KyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0FkbFFBjvSfpJIlJ00zbhNYS5f6Guo
    EDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTbNYiytVbZPQUQ5Yaxu2jXnimvw
    3rrszlaEXAMPLE=
   -----END CERTIFICATE-----"
   }

Greengrass Nucleus Lite で TPM サポートを有効にするには、次の変更を行います。

1. TPM アクセスのtssグループにユーザーを追加してggcore、ユーザーのアクセス許可を設定します。

   sudo usermod -a -G tss ggcore

2. 次の手順を実行して、認証情報ディレクトリを更新します。

   • 認証情報ディレクトリからプライベートキーファイルを削除します。

     • 永続 TPM キーを使用しているため、プライベートキーファイルをコピーする必要はありません。

   • 新しい をその認証情報ディレクトリdevice.pem.crtにコピーします。

3. 次の TPM 固有の設定config.yamlで を編集します。

   system:
       privateKeyPath: "handle:0x81000002" # Use your chosen handle
       certificateFilePath: "" # Replace with the path of device.pem.crt
       ...

4. 次のコマンドを実行して、Greengrass Nucleus Lite を再起動します。

   systemctl restart greengrass-lite.target

TPM デバイスが見つかりません (NitroTPM を使用する場合)

/dev/tpm0 が存在しない場合は、次の手順を実行します。

1. NitroTPM がサポートするインスタンスタイプを使用していることを確認します。

2. AMI が で作成されていることを確認します--tpm-support v2.0。

3. インスタンスがカスタム AMI から起動されたことを確認します。

アクセス拒否エラー

TPM アクセスエラーが発生した場合は、次の操作を行います。

1. ユーザーが tssグループに属していることを確認しますgroups $USER。

2. 次のコマンドを使用して、TPM デバイスのアクセス許可を確認します。

   ls -l /dev/tpm*

3. tss をグループに追加した後、ログアウトして再度ログインしたことを確認します。

OpenSSL プロバイダーの問題

TPM プロバイダーが見つからない場合は、次の操作を行います。

1. のtpm2.soパスを確認します/etc/ssl/openssl.cnf。

2. 次のコマンドを実行して、プロバイダーのインストールを確認します。

   openssl list -providers

3. tpm2-openssl パッケージが正しくインストールされていることを確認します。