ハードウェアセキュリティ統合

ハードウェアセキュリティモジュールを初期化するには

• HSM で PKCS#11 トークンを初期化し、トークンのスロット ID とユーザー PIN を保存します。トークンの初期化方法については、HSM のドキュメントを参照してください。スロット ID とユーザー PIN は、後で PKCS#11 プロバイダーコンポーネントをデプロイして設定するときに使用します。

ハードウェアセキュリティを使用するようにコアデバイスの設定を更新するには

1. AWS IoT Greengrass Core ソフトウェアを停止します。例えば systemd で AWS IoT Greengrass Core ソフトウェアをシステムサービスとして設定した場合は、次のコマンドを実行してソフトウェアを停止できます。

   sudo systemctl stop greengrass.service

2. コアデバイスのプライベートキーと証明書ファイルを検索します。

   • 自動プロビジョニングまたはフリートプロビジョニングで AWS IoT Greengrass Core ソフトウェアをインストールした場合は、プライベートキーは /greengrass/v2/privKey.key にあり、証明書は /greengrass/v2/thingCert.crt にあります。

   • 手動プロビジョニングで AWS IoT Greengrass Core ソフトウェアをインストールした場合、プライベートキーは、デフォルトで /greengrass/v2/private.pem.key にあり、証明書はデフォルトで /greengrass/v2/device.pem.crt にあります。

   /greengrass/v2/config/effectiveConfig.yaml の system.privateKeyPath と system.certificateFilePath のプロパティで、これらのファイルの場所を確認します。

3. プライベートキーと証明書を HSM にインポートします。プライベートキーと証明書をインポートする方法については、HSM のドキュメントを参照してください。PKCS#11 トークンを初期化したスロット ID とユーザー PIN を使用して、プライベートキーと証明書をインポートします。プライベートキーと証明書には、同じオブジェクトラベルとオブジェクト ID を使用する必要があります。各ファイルをインポートしたときに指定したオブジェクトラベルを保存します。HSM でプライベートキーと証明書を使用するように、後で AWS IoT Greengrass Core ソフトウェアの設定を更新する際にこのラベルを使用します。

4. AWS IoT Greengrass Core を HSM でプライベートキーと証明書を使用するように更新します。設定を更新するには、AWS IoT Greengrass Core 設定ファイルを修正し、更新した設定ファイルを用いて AWS IoT Greengrass Core ソフトウェアを実行して、新しい設定を適用します。

   以下の操作を実行します。

   1. AWS IoT Greengrass Core 設定ファイルのバックアップを作成します。ハードウェアセキュリティの設定時に問題が発生した場合は、このバックアップを使用してコアデバイスを復元できます。

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. AWS IoT Greengrass Core 設定ファイルをテキストエディタで開きます。例えば、次のコマンドを実行して GNU nano を使用してファイルを編集できます。/greengrass/v2 を Greengrass ルートフォルダへのパスに置き換えます。

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. system.privateKeyPath の値を HSM のプライベートキーの PKCS#11 URI に置き換えます。iotdeviceKey を以前にプライベートキーと証明書をインポートしたオブジェクトラベルに置き換えます。

      pkcs11:object=iotdevicekey;type=private

   4. system.certificateFilePath の値を HSM の証明書の PKCS#11 URI に置き換えます。iotdeviceKey を以前にプライベートキーと証明書をインポートしたオブジェクトラベルに置き換えます。

      pkcs11:object=iotdevicekey;type=cert

   これらの手順を完了すると、AWS IoT Greengrass Core 設定ファイルの system のプロパティは次の例のようになります。

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. 更新済みの effectiveConfig.yaml ファイルの設定を適用します。Greengrass.jar を --init-config パラメータで実行して、effectiveConfig.yaml の設定を適用します。/greengrass/v2 を Greengrass ルートフォルダへのパスに置き換えます。

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. AWS IoT Greengrass Core ソフトウェアを起動します。systemd で AWS IoT Greengrass Core ソフトウェアをシステムサービスとして設定した場合は、次のコマンドを実行してソフトウェアを起動できます。

   sudo systemctl start greengrass.service

   詳細については、「AWS IoT Greengrass Core ソフトウェアを実行する」を参照してください。

7. AWS IoT Greengrass Core ソフトウェアログで、ソフトウェアが起動し、AWS クラウド と接続されることを確認します。AWS IoT Greengrass Core ソフトウェアは、プライベートキーと証明書を使用して、AWS IoT と AWS IoT Greengrass のサービスに接続します。

   sudo tail -f /greengrass/v2/logs/greengrass.log

   次の情報レベルのログメッセージは、AWS IoT Greengrass Core ソフトウェアが AWS IoT と AWS IoT Greengrass のサービスに正常に接続されていることを示します。

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. (オプション) AWS IoT Greengrass Core ソフトウェアが HSM のプライベートキーと証明書で動作することを確認したら、デバイスのファイルシステムからプライベートキーと証明書ファイルを削除します。次のコマンドを実行し、ファイルパスをプライベートキーおよび証明書ファイルへのパスに置き換えます。

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt