자습서: 신뢰할 수 있는 플랫폼 모듈(TPM)을 사용하여 Greengrass Nucleus 보호

패키지 관리자를 업데이트하고 다음 명령을 실행하여 TPM2 도구와 종속성을 설치합니다.

sudo apt-get update && sudo apt-get install tpm2-tools \
tpm2-abrmd \
tpm2-tss-engine-tools \
gnutls-bin \
libtpm2-pkcs11-1 \
libtpm2-pkcs11-tools \
libtpm2-pkcs11-1-dev \
python3-tpm2-pkcs11-tools \
libengine-pkcs11-openssl \
libtss2-tcti-tabrmd0
                

OpenSSL 엔진 3을 사용하는 OpenSSL TPM2 공급자 패키지를 Ubuntu 24.04에 설치합니다.

sudo apt-get install tpm2-openssl

데이터를 저장할 디렉터리를 생성합니다.

sudo mkdir -p /etc/tpm2_pkcs11
                

저장 위치를 환경 변수로 설정합니다. 스토어 계층 구조에 대한 자세한 내용은 초기화를 참조하세요.

export TPM2_PKCS11_STORE=/etc/tpm2_store
                

기본 객체를 사용하여 TPM2 토큰을 초기화합니다.

sudo tpm2_ptool init
                

사용 가능한 옵션은 다음과 같습니다.

PKCS#11 토큰을 생성합니다.

sudo tpm2_ptool addtoken —pid=1 —userpin=USERPIN —sopin=SOPIN —label=greengrass
                

사용 가능한 옵션은 다음과 같습니다.

ECC 키 객체를 생성합니다.

sudo tpm2_ptool addkey —algorithm=ecc256 —label=greengrass —userpin=****** —key-label=greenkey
                

토큰에서 TPM2-TSS 개체를 내보내 인증 데이터를 캡처합니다.

yaml_ecc0=$(sudo tpm2_ptool export —label="greengrass" —key-label="greenkey" —userpin="******")
                

출력 예시:

> echo $yaml_ecc0
object-auth: 706c1cad8a5238871b30149705255926
primary-object:
  auth: ''
  hierarchy: owner
  is_transient: false
                

TSS 프라이빗 키의 인증 데이터를 캡처합니다.

auth_ecc0=$(echo "$yaml_ecc0" | grep "object-auth" | cut -d' ' -f2-)

TPM2 공급자를 사용하여 CSR을 생성합니다.

sudo openssl req -new -provider tpm2 -provider base -key greenkey.pem -passin "pass:$auth_ecc0" -out "$H"$HOSTNAME".csr
                

CSR 생성을 진행하면 다음 정보를 입력하라는 메시지가 표시됩니다.

또는 OpenSSL 구성 파일을 사용하여 무인으로 CSR을 생성할 수도 있습니다. 자세한 내용은 OpenSSL 설명서를 참조하세요.

동일한 시스템에서 CSR을 생성하지 않는 경우 생성된 CSR을 AWS 자격 증명이 구성된 시스템에 복사합니다.

사물 인증서를 디바이스에 복사합니다.

사물 인증서를 Greengrass 토큰에 추가합니다.

sudo tpm2_ptool addcert --label=greengrass --key-label=greenkey device.pem.crt

사용 가능한 옵션은 다음과 같습니다.

Greengrass 토큰의 토큰 URL을 캡처합니다.

TOKEN=sudo p11tool --list-token-urls | grep "token=greengrass"

Greengrass 토큰의 객체 URL을 가져옵니다. 3단계에서 사용한 것과 동일한 핀을 사용합니다.

sudo p11tool --login --list-all "${TOKEN}"

출력 예시:

Token 'greengrass' with URL 'pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass' requires user PIN
Enter PIN:
WARNING: Needed CKA_VALUE but didn't find encrypted blob
Object 0:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=private
        Type: Private key (EC/ECDSA-SECP256R1)
        Label: greenkey
        Flags: CKA_PRIVATE; CKA_NEVER_EXTRACTABLE; CKA_SENSITIVE;
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

Object 1:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=public
        Type: Public key (EC/ECDSA-SECP256R1)
        Label: greenkey
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

Object 2:
        URL: pkcs11:model=SLB9672%00%00%00%00%00%00%00%00%00;manufacturer=Infineon;serial=0000000000000000;token=greengrass;id=%39%32%37%65%61%64%61%39%31%32%35%31%61%35%37%31;object=greenkey;type=cert
        Type: X.509 Certificate (EC/ECDSA-SECP256R1)
        Expires: Fri Dec 31 18:59:59 2049
        Label: greenkey
        ID: 39:32:37:65:61:64:61:39:31:32:35:31:61:35:37:31

프라이빗 키 및 인증서의 객체 URL을 캡처합니다.

사물 인증서를 구성합니다. 자세한 내용은 사물 인증서 구성을 참조하세요.

의 HSM에 프라이빗 키와 인증서를 사용하여 AWS IoT Greengrass 코어 소프트웨어를 설치하는 지침을 완료합니다AWS IoT Greengrass 코어 소프트웨어 설치. 그런 후, 다음 단계를 따라 PKCS#11 인터페이스를 통해 TPM2를 활용하도록 설치 구성을 진행합니다.

Greengrass 설치 프로그램 위치에 PKCS#11 공급자 구성 요소가 다운로드되어 저장되어 있는지 확인합니다.

텍스트 편집기를 사용하여 config.yaml 구성 파일을 생성하고 설치 관리자에 제공합니다. 예를 들어 Linux 기반 시스템에서 다음 명령을 실행하면 GNU nano를 사용하여 파일을 생성할 수 있습니다.

nano GreengrassInstaller/config.yaml

다음 YAML 내용을 파일에 복사합니다. 이 부분 구성 파일은 시스템 파라미터, Greengrass nucleus 파라미터 및 PKCS#11 공급자 파라미터를 지정합니다.

---
system:
  certificateFilePath: "pkcs11:model=SW%20%20%20TPM%00%00%00%00%00%00%00%00;manufacturer=IBM;serial=0000000000000000;token=greengrass;id=%34%35;object=greenkey;type=cert"
  privateKeyPath: "pkcs11:model=SW%20%20%20TPM%00%00%00%00%00%00%00%00;manufacturer=IBM;serial=0000000000000000;token=greengrass;id=%34%35;object=greenkey;type=private"
  rootCaPath: "/greengrass/v2/AmazonRootCA1.pem"
  rootpath: "/greengrass/v2"
  thingName: "myThing"
services:
  aws.greengrass.Nucleus:
    componentType: "NUCLEUS"
    version: "2.14.0"
    configuration:
      awsRegion: "us-east-1"
      iotRoleAlias: "GreengrassCoreTokenExchangeRoleAlias"
      iotDataEndpoint: "device-data-prefix-ats.iot.us-west-2.amazonaws.com"
      iotCredEndpoint: "device-credentials-prefix.credentials.iot.us-west-2.amazonaws.com"
  aws.greengrass.crypto.Pkcs11Provider:
    configuration:
      name: "tpm2_pkcs11"
      library: "/usr/lib/x86_64-linux-gnu/pkcs11/libtpm2_pkcs11.so"
      slot: 1
      userPin: "123456"

설치 환경에 맞는 파라미터로 파일을 편집합니다.

AWS IoT Greengrass 코어 소프트웨어 설치에서 Greengrass 설치 단계를 완료합니다.

Greengrass 서비스 상태를 확인합니다.

sudo systemctl status greengrass.service

오류가 없는지 확인하기 위해 Greengrass 로그를 확인합니다.

sudo tail -f /greengrass/v2/logs/greengrass.log

AWS IoT 콘솔에서 디바이스 연결 상태를 확인합니다.