Toegang tot Azure IoT Hub Device Provisioning Service (DPS) beheren met handtekeningen voor gedeelde toegang en beveiligingstokens

In dit artikel worden de beschikbare opties beschreven voor het beveiligen van uw Azure IoT Hub Device Provisioning Service (DPS). De inrichtingsservice maakt gebruik van verificatie en machtigingen om toegang te verlenen tot elk eindpunt. Met machtigingen kan het verificatieproces de toegang tot een service-exemplaar beperken op basis van functionaliteit.

In dit artikel wordt het volgende besproken:

• Het authenticatieproces en de tokens die de inrichtingsservice gebruikt om machtigingen te verifiëren voor zowel de Service-- als de Device REST-API's.

• De verschillende machtigingen die u aan een back-end-app kunt verlenen voor toegang tot de Service-API.

Authenticatie

De Apparaat-API ondersteunt apparaatverificatie op basis van sleutels en X.509-certificaten.

De Service-API ondersteunt verificatie op basis van sleutels voor back-end-apps.

Bij het gebruik van verificatie op basis van sleutels gebruikt Device Provisioning Service beveiligingstokens om services te verifiëren om te voorkomen dat sleutels op de kabel worden verzonden. Bovendien zijn beveiligingstokens beperkt in de geldigheid en het bereik van de tijd. Azure IoT Hub Device Provisioning SDK's genereren automatisch tokens zonder speciale configuratie.

In sommige gevallen moet u mogelijk de REST API's van de HTTP Device Provisioning Service rechtstreeks gebruiken zonder de SDK's te gebruiken. In de volgende secties wordt beschreven hoe u rechtstreeks verifieert met de REST API's.

Apparaat-API-verificatie

De Device API- wordt door apparaten gebruikt om de Device Provisioning Service te bevestigen en een IoT Hub-verbinding te ontvangen.

Een apparaat moet worden geverifieerd bij de Apparaat-API als onderdeel van het inrichtingsproces. De methode die een apparaat gebruikt om te verifiëren, wordt gedefinieerd wanneer u een inschrijvingsgroep of afzonderlijke inschrijving instelt. Wat de verificatiemethode ook is, het apparaat moet een HTTPS PUT uitgeven aan de volgende URL om zichzelf in te richten.

    https://global.azure-devices-provisioning.net/[ID_Scope]/registrations/[registration_id]/register?api-version=2021-06-01

Als u verificatie op basis van sleutels gebruikt, wordt een beveiligingstoken doorgegeven in de HTTP-Autorisatie aanvraagheader in de volgende indeling:

    SharedAccessSignature sig={signature}&se={expiry}&skn={policyName}&sr={URL-encoded-resourceURI} 

Structuur van beveiligingstokens voor verificatie op basis van sleutels

Het beveiligingstoken wordt doorgegeven in de HTTP-Autorisatie aanvraagheader in de volgende indeling:

    SharedAccessSignature sig={signature}&se={expiry}&skn={policyName}&sr={URL-encoded-resourceURI} 

De verwachte waarden zijn:

In het volgende Python-fragment ziet u een functie met de naam generate_sas_token waarmee het token wordt berekend van de invoer uri, key, policy_name, expiry voor een afzonderlijke inschrijving met behulp van een verificatietype symmetrische sleutel.

from base64 import b64encode, b64decode, encode 
from hashlib import sha256 
from time import time 
from urllib.parse import quote_plus, urlencode 
from hmac import HMAC 

 def generate_sas_token(uri, key, policy_name, expiry=3600): 
    ttl = time() + expiry 
    sign_key = "%s\n%d" % ((quote_plus(uri)), int(ttl)) 
    signature = b64encode(HMAC(b64decode(key), sign_key.encode('utf-8'), sha256).digest()) 

    rawtoken = { 
        'sr' :  uri, 
        'sig': signature, 
        'se' : str(int(ttl)), 
        'skn' : policy_name 
    } 

    return 'SharedAccessSignature ' + urlencode(rawtoken) 

print(generate_sas_token("myIdScope/registrations/mydeviceregistrationid", "00mysymmetrickey", "registration"))

Het resultaat moet er ongeveer uitzien als de volgende uitvoer:

SharedAccessSignature sr=myIdScope%2Fregistrations%2Fmydeviceregistrationid&sig=SDpdbUNk%2F1DSjEpeb29BLVe6gRDZI7T41Y4BPsHHoUg%3D&se=1630175722&skn=registration 

In het volgende voorbeeld ziet u hoe de handtekening voor gedeelde toegang vervolgens wordt gebruikt om te verifiëren met de Apparaat-API.

curl -L -i -X PUT -H 'Content-Type: application/json' -H 'Content-Encoding:  utf-8' -H 'Authorization: [token]' -d '{"registrationId": "[registration_id]"}' https://global.azure-devices-provisioning.net/[ID_Scope]/registrations/[registration_id]/register?api-version=2021-06-01 

Als u een op symmetrische sleutel gebaseerde inschrijvingsgroep gebruikt, moet u eerst een device symmetric sleutel genereren met behulp van de inschrijvingsgroepssleutel. Gebruik de primaire of secundaire sleutel van de inschrijvingsgroep om een HMAC-SHA256 van de registratie-id voor het apparaat te berekenen. Het resultaat wordt vervolgens geconverteerd naar de Base64-indeling om de afgeleide apparaatsleutel te verkrijgen. Zie Een apparaatsleutel afleiden om codevoorbeelden weer te geven. Zodra de symmetrische sleutel van het apparaat is afgeleid, kunt u het apparaat registreren met behulp van de vorige voorbeelden.

Verificatie op basis van certificaat

Als u een afzonderlijke inschrijvings- of inschrijvingsgroep instelt voor verificatie op basis van X.509-certificaten, moet het apparaat het uitgegeven X.509-certificaat gebruiken om te bevestigen bij de Apparaat-API. Raadpleeg de volgende artikelen over het instellen van de inschrijving en het genereren van het apparaatcertificaat.

• Quickstart: Een gesimuleerd X.509-certificaatapparaat inrichten

• Programmatisch een Device Provisioning Service-inschrijvingsgroep maken voor X.509-certificaatverklaring

Zodra de inschrijving is ingesteld en het apparaatcertificaat is uitgegeven, ziet u in het volgende voorbeeld hoe u zich kunt verifiëren bij de Apparaat-API met het X.509-certificaat van het apparaat.

curl -L -i -X PUT –cert ./[device_cert].pem –key ./[device_cert_private_key].pem -H 'Content-Type: application/json' -H 'Content-Encoding:  utf-8' -d '{"registrationId": "[registration_id]"}' https://global.azure-devices-provisioning.net/[ID_Scope]/registrations/[registration_id]/register?api-version=2021-06-01 

Service-API-authenticatie

De Service-API wordt gebruikt om de registratiestatus op te halen en apparaatregistraties te verwijderen. De service wordt ook gebruikt door back-end-apps voor het programmatisch beheren van zowel afzonderlijke groepen als inschrijvingsgroepen. De Service-API ondersteunt verificatie op basis van sleutels voor back-end-apps.

U moet over de juiste machtigingen beschikken om toegang te krijgen tot een van de service-API-eindpunten. Een back-end-app moet bijvoorbeeld een token bevatten met beveiligingsreferenties, samen met elk bericht dat naar de service wordt verzonden.

Azure IoT Hub Device Provisioning Service verleent toegang tot eindpunten door het token te verifiëren op basis van het beleid voor gedeelde toegang. Beveiligingsreferenties, zoals symmetrische sleutels, worden nooit via de kabel verzonden.

Toegangsbeheer en machtigingen

U kunt op de volgende manieren machtigingen verlenen:

• beleid voor autorisatie van gedeelde toegang. Beleid voor gedeelde toegang kan elke combinatie van machtigingenverlenen. U kunt beleidsregels definiëren in de Azure-portalof programmatisch met behulp van de REST API's van Device Provisioning Service. Een recent aangemaakte voorzieningsservice heeft het volgende standaardbeleid:

• provisioningserviceowner: Beleid met alle machtigingen. Zie machtigingen voor gedetailleerde informatie.

Zie de volgende sectie voor meer informatie over het maken en gebruiken van beveiligingstokens.

HTTP is het enige ondersteunde protocol en implementeert verificatie door een geldig token op te geven in de autorisatie- aanvraagheader.

Voorbeeld

SharedAccessSignature sr = 
   mydps.azure-devices-provisioning.net&sig=kPszxZZZZZZZZZZZZZZZZZAhLT%2bV7o%3d&se=1487709501&skn=provisioningserviceowner`\

Beveiligingstokens

Device Provisioning Service gebruikt beveiligingstokens om services te verifiëren om te voorkomen dat sleutels op de kabel worden verzonden. Bovendien zijn beveiligingstokens beperkt in de geldigheid en het bereik van de tijd. Azure IoT Hub Device Provisioning Service SDK's genereren automatisch tokens zonder speciale configuratie. Voor sommige scenario's moet u beveiligingstokens rechtstreeks genereren en gebruiken. Dergelijke scenario's omvatten het directe gebruik van het HTTP-oppervlak.

Structuur van beveiligingstokens

U gebruikt beveiligingstokens om tijdgebonden toegang te verlenen aan services voor specifieke functionaliteit in IoT Hub Device Provisioning Service. Om autorisatie te krijgen om verbinding te maken met de inrichtingsservice, moeten services de beveiligingstokens verzenden die zijn ondertekend met een gedeelde toegangsleutel of een symmetrische sleutel.

Een token dat is ondertekend met een gedeelde toegangssleutel verleent toegang tot alle functionaliteit die is gekoppeld aan de machtigingen voor gedeeld toegangsbeleid.

Het beveiligingstoken heeft de volgende indeling:

SharedAccessSignature sig={signature}&se={expiry}&skn={policyName}&sr={URL-encoded-resourceURI}

Dit zijn de verwachte waarden

In het volgende Node.js codefragment ziet u een functie met de naam generateSasToken waarmee het token wordt berekend op basis van de invoer resourceUri, signingKey, policyName, expiresInMins. In de volgende secties wordt beschreven hoe u de verschillende invoer voor de verschillende tokengebruiksscenario's initialiseert.

var generateSasToken = function(resourceUri, signingKey, policyName, expiresInMins) {
    resourceUri = encodeURIComponent(resourceUri);

    // Set expiration in seconds
    var expires = (Date.now() / 1000) + expiresInMins * 60;
    expires = Math.ceil(expires);
    var toSign = resourceUri + '\n' + expires;

    // Use crypto
    var hmac = crypto.createHmac('sha256', new Buffer(signingKey, 'base64'));
    hmac.update(toSign);
    var base64UriEncoded = encodeURIComponent(hmac.digest('base64'));

    // Construct authorization string
    var token = "SharedAccessSignature sr=" + resourceUri + "&sig="
    + base64UriEncoded + "&se=" + expires + "&skn="+ policyName;
    return token;
};

Ter vergelijking: de equivalente Python-code voor het genereren van een beveiligingstoken is:

from base64 import b64encode, b64decode
from hashlib import sha256
from time import time
from urllib.parse import quote_plus, urlencode
from hmac import HMAC

def generate_sas_token(uri, key, policy_name, expiry=3600):
    ttl = time() + expiry
    sign_key = "%s\n%d" % ((quote_plus(uri)), int(ttl))
    print sign_key
    signature = b64encode(HMAC(b64decode(key), sign_key, sha256).digest())

    rawtoken = {
        'sr' :  uri,
        'sig': signature,
        'se' : str(int(ttl)),
        'skn' : policy_name
    }

    return 'SharedAccessSignature ' + urlencode(rawtoken)

Beveiligingstokens van serviceonderdelen gebruiken

Serviceonderdelen kunnen alleen beveiligingstokens genereren met behulp van gedeeld toegangsbeleid dat de juiste machtigingen verleent, zoals eerder is uitgelegd.

Dit zijn de servicefuncties die beschikbaar zijn op de eindpunten:

Een service die wordt gegenereerd met behulp van een vooraf gemaakt beleid voor gedeelde toegang dat wordt aangeroepen enrollmentread , maakt bijvoorbeeld een token met de volgende parameters:

• resource-URI: {mydps}.azure-devices-provisioning.net,
• ondertekeningssleutel: een van de sleutels van het enrollmentread-beleid
• beleidsnaam: enrollmentread,
• elke verloopdatum.backn

var endpoint ="mydps.azure-devices-provisioning.net";
var policyName = 'enrollmentread'; 
var policyKey = '...';

var token = generateSasToken(endpoint, policyKey, policyName, 60);

Het resultaat, dat toegang verleent om alle inschrijvingsrecords te lezen, is:

SharedAccessSignature sr=mydps.azure-devices-provisioning.net&sig=JdyscqTpXdEJs49elIUCcohw2DlFDR3zfH5KqGJo4r4%3D&se=1456973447&skn=enrollmentread

SDK's en voorbeelden

• Microsoft Azure IoT SDK's voor Java
  • voorbeeld
• Microsoft Azure IoT SDK voor .NET
  • voorbeeld

Naslagartikelen:

De volgende naslagartikelen bevatten meer informatie over het beheren van de toegang tot uw IoT Device Provisioning Service.

Machtigingen voor Device Provisioning Service

De volgende tabel bevat de machtigingen die u kunt gebruiken om de toegang tot uw IoT Device Provisioning Service te beheren.