チュートリアル: 信頼できるプラットフォームモジュール (TPM) で Greengrass Nucleus を保護する

以下のコマンドを実行して、パッケージマネージャーを更新し、TPM2 ツールと依存関係をインストールします。

sudo apt-get update && sudo apt-get install tpm2-tools \
tpm2-abrmd \
tpm2-tss-engine-tools \
gnutls-bin \
libtpm2-pkcs11-1 \
libtpm2-pkcs11-tools \
libtpm2-pkcs11-1-dev \
python3-tpm2-pkcs11-tools \
libengine-pkcs11-openssl \
libtss2-tcti-tabrmd0
                

OpenSSL エンジン 3 を使用する OpenSSL TPM2 プロバイダーパッケージを Ubuntu 24.04 にインストールします。

sudo apt-get install tpm2-openssl

データを保存するディレクトリを作成します。

sudo mkdir -p /etc/tpm2_pkcs11
                

ストレージの場所を環境変数として設定します。ストア階層の詳細については、「Initialization」を参照してください。

export TPM2_PKCS11_STORE=/etc/tpm2_store
                

プライマリオブジェクトを使用して TPM2 トークンを初期化します。

sudo tpm2_ptool init
                

利用可能なオプションは以下のとおりです。

PKCS#11 トークンを作成します。

sudo tpm2_ptool addtoken —pid=1 —userpin=USERPIN —sopin=SOPIN —label=greengrass
                

利用可能なオプションは以下のとおりです。

ECC キーオブジェクトを作成します。

sudo tpm2_ptool addkey —algorithm=ecc256 —label=greengrass —userpin=****** —key-label=greenkey
                

トークンから TPM2-TSS オブジェクトをエクスポートして、認証データをキャプチャします。

yaml_ecc0=$(sudo tpm2_ptool export —label="greengrass" —key-label="greenkey" —userpin="******")
                

出力例:

> echo $yaml_ecc0
object-auth: 706c1cad8a5238871b30149705255926
primary-object:
  auth: ''
  hierarchy: owner
  is_transient: false
                

TSS プライベートキーの認証データをキャプチャします。

auth_ecc0=$(echo "$yaml_ecc0" | grep "object-auth" | cut -d' ' -f2-)

TPM2 プロバイダーを使用して CSR を生成します。

sudo openssl req -new -provider tpm2 -provider base -key greenkey.pem -passin "pass:$auth_ecc0" -out "$H"$HOSTNAME".csr
                

プロンプトが表示されたら、以下を含む CSR の必要な情報を入力します。

または、無人生成用の OpenSSL 設定ファイルを指定することもできます。詳細については、「OpenSSL Documentation」を参照してください。

同じマシンで CSR を生成しない場合は、生成された CSR を AWS 認証情報が設定されたマシンにコピーします。

モノの証明書をデバイスにコピーします。

モノの証明書を Greengrass トークンに追加します。

sudo tpm2_ptool addcert --label=greengrass --key-label=greenkey device.pem.crt

利用可能なオプションは以下のとおりです。

Greengrass トークンのトークン URL をキャプチャします。

TOKEN=sudo p11tool --list-token-urls | grep "token=greengrass"

Greengrass トークン URL を取得します。ステップ 3 で使用したのと同じピンを使用します。

sudo p11tool --login --list-all "${TOKEN}"

出力例:

Token 'greengrass' with URL 'pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass' requires user PIN
Enter PIN:
WARNING: Needed CKA_VALUE but didn't find encrypted blob
Object 0:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=private
        Type: Private key (EC/ECDSA-SECP256R1)
        Label: greenkey
        Flags: CKA_PRIVATE; CKA_NEVER_EXTRACTABLE; CKA_SENSITIVE;
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

Object 1:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=public
        Type: Public key (EC/ECDSA-SECP256R1)
        Label: greenkey
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

Object 2:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=cert
        Type: X.509 Certificate (EC/ECDSA-SECP256R1)
        Expires: Fri Dec 31 18:59:59 2049
        Label: greenkey
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

プライベートキーと証明書のオブジェクト URL をキャプチャします。

モノの証明書を設定します。詳細については、「Configure the thing certificate」を参照してください。

の HSM にプライベートキーと証明書を使用して AWS IoT Greengrass Core ソフトウェアをインストールする手順を完了しますAWS IoT Greengrass Core ソフトウェアのインストール。次に、以下の手順を使用して、PKCS#11 インターフェイスを介して TPM2 を利用するようにインストールを設定します。

PKCS#11 プロバイダーコンポーネントをダウンロードして Greengrass インストーラの場所に保存していることを確認します。

テキストエディタを使用し、config.yaml という名前の設定ファイルを作成してインストーラに提供します。例えば、Linux ベースのシステムでは、以下のコマンドを実行して GNU nano を使用してファイルを作成できます。

nano GreengrassInstaller/config.yaml

次の YAML コンテンツをファイルにコピーします。この部分設定ファイルは、システムパラメータ、Greengrass nucleus パラメータ、PKCS#11 プロバイダパラメータを指定します。

---
system:
  certificateFilePath: "pkcs11:model=SW%20%20%20TPM%00%00%00%00%00%00%00%00;manufacturer=IBM;serial=0000000000000000;token=greengrass;id=%34%35;object=greenkey;type=cert"
  privateKeyPath: "pkcs11:model=SW%20%20%20TPM%00%00%00%00%00%00%00%00;manufacturer=IBM;serial=0000000000000000;token=greengrass;id=%34%35;object=greenkey;type=private"
  rootCaPath: "/greengrass/v2/AmazonRootCA1.pem"
  rootpath: "/greengrass/v2"
  thingName: "myThing"
services:
  aws.greengrass.Nucleus:
    componentType: "NUCLEUS"
    version: "2.14.0"
    configuration:
      awsRegion: "us-east-1"
      iotRoleAlias: "GreengrassCoreTokenExchangeRoleAlias"
      iotDataEndpoint: "device-data-prefix-ats.iot.us-west-2.amazonaws.com"
      iotCredEndpoint: "device-credentials-prefix.credentials.iot.us-west-2.amazonaws.com"
  aws.greengrass.crypto.Pkcs11Provider:
    configuration:
      name: "tpm2_pkcs11"
      library: "/usr/lib/x86_64-linux-gnu/pkcs11/libtpm2_pkcs11.so"
      slot: 1
      userPin: "123456"

インストールに固有のパラメータを使用してファイルを編集します。

「AWS IoT Greengrass Core ソフトウェアのインストール」の Greengrass インストール手順を完了します。

Greengrass サービスのステータスを確認します。

sudo systemctl status greengrass.service

Greengrass ログを表示して、エラーがないことを確認します。

sudo tail -f /greengrass/v2/logs/greengrass.log

デバイスが AWS IoT コンソールに接続済みとして表示されることを確認します。