Compartilhar via

Criar e provisionar dispositivos de IoT Edge em grande escala com um TPM no Windows

Aplica-se a:ícone de sim IoT Edge 1.1

Importante

O IoT Edge 1.1 data de término do suporte foi 13 de dezembro de 2022. Confira o Ciclo de Vida do Produto da Microsoft para obter informações sobre o suporte deste produto, serviço, tecnologia ou API. Para obter mais informações sobre como atualizar para a versão mais recente do IoT Edge, consulte Update IoT Edge.

Este artigo fornece instruções para o provisionamento automático de um dispositivo do Azure IoT Edge para Windows usando um TPM (Trusted Platform Module). É possível provisionar automaticamente dispositivos do Azure IoT Edge com o Serviço de provisionamento de dispositivos no Hub IoT do Azure. Se você não estiver familiarizado com o processo de provisionamento automático, reveja a visão geral de provisionamento antes de continuar.

Observação

Não haverá suporte para contêineres do Azure IoT Edge com Windows a partir da versão 1.2 do Azure IoT Edge.

Considere usar o novo método para executar o IoT Edge em dispositivos Windows, Azure IoT Edge para Linux no Windows.

Se você quiser usar o Azure IoT Edge para Linux no Windows, poderá seguir as etapas na guia de instruções equivalente.

Este artigo descreve duas metodologias. Selecione sua preferência com base na arquitetura de sua solução:

  • Provisionar automaticamente um dispositivo Windows com hardware TPM físico.
  • Provisionar automaticamente um dispositivo Windows executando um TPM simulado. Recomendamos essa metodologia apenas como um cenário de teste. Um TPM simulado não oferece a mesma segurança que um TPM físico.

As instruções diferem com base na metodologia, portanto, verifique se você está na guia correta a seguir.

As tarefas são as seguintes:

  • Recupere as informações de provisionamento do dispositivo.
  • Crie um registro individual para o dispositivo.
  • Instale o runtime do IoT Edge e conecte o dispositivo ao Hub IoT.

Pré-requisitos

Os pré-requisitos são os mesmos para soluções TPM físicas e TPM virtuais.

Recursos de nuvem

Requisitos do dispositivo

Um computador de desenvolvimento do Windows. Este artigo usa o Windows 10.

Observação

O TPM 2.0 é necessário quando você usa o atestado do TPM com o serviço de provisionamento de dispositivos.

Ao usar um TPM, você só pode criar registros de serviço de provisionamento de dispositivos individuais, não de grupo.

Configurar seu TPM

Nesta seção, você criará uma ferramenta que pode ser usada para recuperar a ID de registro e a chave de endosso do TPM.

  1. Siga as etapas em Configurar um ambiente de desenvolvimento do Windows para instalar e criar o SDK do dispositivo IoT do Azure para C.

  2. Execute os comandos a seguir em uma sessão do PowerShell com privilégios elevados para criar a ferramenta SDK que recupera as informações de provisionamento do dispositivo para o TPM.

    cd azure-iot-sdk-c\cmake
cmake -Duse_prov_client:BOOL=ON ..
cd provisioning_client\tools\tpm_device_provision
make
.\tpm_device_provision

  3. A janela de saída exibe o ID de Registro do dispositivo e a chave de endosso . Copie esses valores para uso posterior quando criar um registro individual do dispositivo no serviço de provisionamento de dispositivos.

Dica

Se você não quiser usar a ferramenta SDK para recuperar as informações, precisará encontrar outra maneira de obter as informações de provisionamento. A chave de endosso, que é exclusiva de cada chip TPM, é obtida por meio do fabricante do chip TPM associado. É possível derivar uma ID de registro exclusiva para o dispositivo TPM. Por exemplo, você pode criar um hash SHA-256 da chave de endosso.

Depois que tiver a ID de registro e a chave de endosso, você estará pronto para continuar.

Criar um registro de serviço de provisionamento de dispositivos

Use as informações de provisionamento do TPM para criar um registro individual no serviço de provisionamento de dispositivos.

Ao criar um registro no serviço de provisionamento de dispositivos, você tem a oportunidade de declarar um Estado Inicial do Dispositivo Gêmeo. No dispositivo gêmeo, você pode definir marcas para agrupar dispositivos segundo qualquer métrica que precisar em sua solução, como região, ambiente, local ou tipo de dispositivo. Essas etiquetas são usadas para criar implantações automáticas.

Dica

As etapas neste artigo são para o portal do Microsoft Azure, mas também é possível criar registros individuais usando a CLI do Azure. Para obter mais informações, confira az iot dps enrollment. Como parte do comando da CLI, use o flag de edge-enabled para especificar que o registro é para um dispositivo IoT Edge.

  1. No Portal do Azure, navegue até sua instância do Serviço de Provisionamento de Dispositivos no Hub IoT.

  2. Em Configurações, selecione Gerenciar registros.

  3. Selecione Adicionar registro individual e conclua as seguintes etapas para configurar o registro:

    1. Em Mecanismo, selecione TPM.

    2. Forneça a Chave de endosso e a ID de Registro que você copiou da sua VM ou do dispositivo físico.

    3. Forneça uma ID para seu dispositivo se desejar. Se você não fornecer uma ID de dispositivo, a ID de registro será usada.

    4. Selecione True para declarar que a VM ou o dispositivo físico é um dispositivo do IoT Edge.

    5. Escolha o hub IoT vinculado ao qual deseja conectar o dispositivo ou selecione Vincular ao novo Hub IoT. Você pode escolher vários hubs e o dispositivo será atribuído a um deles, de acordo com a política de atribuição selecionada.

    6. Adicione um valor de etiqueta ao estado inicial do dispositivo gêmeo, se desejar. Você pode usar marcas para grupos de dispositivos alvo na implantação do módulo. Para obter mais informações, confira Implantar módulos do IoT Edge em escala.

    7. Clique em Salvar.

Agora que existe um registro para esse dispositivo, o runtime do IoT Edge pode provisionar automaticamente o dispositivo durante a instalação.

Instalar o IoT Edge

Nesta seção, você prepara sua VM do Windows ou dispositivo físico para o IoT Edge. Em seguida, você instalará o IoT Edge.

O Azure IoT Edge depende de um runtime de contentor compatível com o OCI. Moby, um mecanismo baseado em Moby, está incluído no script de instalação, o que significa que não há etapas adicionais para instalar o mecanismo.

Para instalar o runtime do IoT Edge:

  1. Execute o PowerShell como administrador.

    Use uma sessão AMD64 do PowerShell, não do PowerShell(x86). Se você não tiver certeza de qual tipo de sessão está usando, execute o seguinte comando:

    (Get-Process -Id $PID).StartInfo.EnvironmentVariables["PROCESSOR_ARCHITECTURE"]

  2. Execute o comando Deploy-IoTEdge, que executa as seguintes tarefas:

    • Verifica se o computador Windows está em uma versão com suporte
    • Ativa o recurso de contêineres
    • Faz o download do mecanismo moby e do ambiente de execução do IoT Edge
    . {Invoke-WebRequest -useb https://aka.ms/iotedge-win} | Invoke-Expression; `
Deploy-IoTEdge

  3. Reinicie seu dispositivo se solicitado.

Ao instalar o IoT Edge em um dispositivo, você pode usar parâmetros adicionais para modificar o processo, incluindo:

  • Direcionar o tráfego para percorrer um servidor proxy
  • Aponte o instalador para um diretório local para instalação offline

Para obter mais informações sobre esses parâmetros adicionais, consulte scripts do PowerShell para IoT Edge com contêineres do Windows.

Provisionar o dispositivo com a identidade de nuvem dele

Depois que o runtime for instalado no seu dispositivo, configure-o com as informações que ele usa para se conectar ao serviço de provisionamento de dispositivos e ao Hub IoT.

  1. Confira o ID Scope do serviço de provisionamento de dispositivos e o ID de registro do dispositivo que foram obtidos nas seções anteriores.

  2. Abra uma janela do PowerShell no modo de administrador. Use uma sessão AMD64 do PowerShell ao instalar o IoT Edge, não o PowerShell (x86).

  3. O Initialize-IoTEdge comando configura o runtime do IoT Edge em seu computador. O comando usa como padrão o provisionamento manual com contêineres do Windows. Use o -Dps sinalizador para usar o serviço de provisionamento de dispositivo em vez de provisionamento manual.

    Substitua os valores de espaço reservado para paste_scope_id_here e paste_registration_id_here pelos dados que você coletou anteriormente.

    . {Invoke-WebRequest -useb https://aka.ms/iotedge-win} | Invoke-Expression; `
Initialize-IoTEdge -Dps -ScopeId paste_scope_id_here -RegistrationId paste_registration_id_here

Verifique se a instalação é bem-sucedida

Se o runtime for iniciado com êxito, acesse seu hub IoT e comece a implantar módulos do IoT Edge em seu dispositivo. Use os comandos a seguir em seu dispositivo para verificar se o runtime foi instalado e iniciado com êxito.

  1. Verifique o status do serviço do IoT Edge.

    Get-Service iotedge

  2. Examine os logs de serviço dos últimos 5 minutos.

    . {Invoke-WebRequest -useb aka.ms/iotedge-win} | Invoke-Expression; Get-IoTEdgeLog

  3. Listar módulos em execução.

    iotedge list

Próximas etapas

O processo de registro do serviço de provisionamento de dispositivo permite definir a ID do dispositivo e as tags do dispositivo gêmeo ao mesmo tempo em que você provisiona o novo dispositivo. Você pode usar esses valores para direcionar dispositivos individuais ou grupos de dispositivos usando o gerenciamento automático de dispositivos.

Saiba como implantar e monitorar os módulos de IoT Edge em escala usando o portal do Azure ou a CLI do Azure.

  • Last updated on