使用對稱金鑰大規模在 Linux 上建立及佈建 IoT Edge 裝置

適用於： IoT Edge 1.5

重要

IoT Edge 1.5 LTS 是支援的版本。自 2024 年 11 月 12 日起，IoT Edge 1.4 LTS 已結束生命週期。如果您是舊版，請參閱更新 IoT Edge。

本文提供使用對稱金鑰設定一或多個 Linux IoT Edge 裝置的逐步指示。使用 Azure IoT 中樞裝置布建服務（DPS）自動設定 Azure IoT Edge 裝置。如果您不熟悉自動布建程式，請先檢閱布建概觀，再繼續。

以下是主要工作：

建立單一裝置的 個別註冊 或一組裝置的 群組註冊 。
安裝 IoT Edge 執行階段，並將其連線至 IoT 中樞。

提示

如需簡化的體驗，請嘗試 Azure IoT Edge 設定工具。此命令列工具目前處於公開預覽狀態，會在您的裝置上安裝 IoT Edge，並使用 DPS 和對稱金鑰證明進行佈建。

對稱金鑰證明是使用裝置佈建服務實例驗證裝置的簡單方式。此方法是「Hello world」體驗，適用於不熟悉裝置布建或沒有嚴格安全性需求的開發人員。使用 TPM 或 X.509 憑證的裝置證明更為安全，您應該將其用於更嚴格的安全性需求。

必要條件

雲端資源

使用中的 IoT 中樞
Azure 中的 IoT 中樞裝置佈建服務執行個體，其與您的 IoT 中樞連結
- 如果您沒有裝置佈建服務執行個體，則可以遵循 IoT 中樞裝置佈建服務快速入門建立新的 IoT 中樞裝置佈建服務和連結 IoT 中樞與裝置佈建服務章節的指示。
- 裝置佈建服務開始執行之後，請從 [概觀] 頁面中複製 [識別碼範圍] 的值。當您設定 IoT Edge 執行階段時會用到此值。

裝置需求

使用實體或虛擬 Linux 裝置作為 IoT Edge 裝置。

定義唯一的註冊標識碼，以識別每個裝置。使用來自裝置的 MAC 位址、序號或任何唯一資訊。例如，結合 MAC 位址和序號來形成註冊識別碼，例如 sn-007-888-abc-mac-a1-b2-c3-d4-e5-f6。有效字元為小寫英數字元與破折號 (-)。

建立 DPS 註冊

建立註冊，以透過 DPS 佈建一或多個裝置。

如果您想要佈建單一 IoT Edge 裝置，請建立個別註冊。如果您需要佈建多個裝置，則請遵循建立 DPS「群組註冊」的步驟。

在 DPS 中建立註冊時，您就有機會宣告初始裝置對應項狀態。在裝置對應項中，您可以根據解決方案中需要的任何計量 (例如區域、環境、位置或裝置類型) 來設定標記，進而將裝置分組。這些標記會用來建立自動部署。

如需裝置佈建服務中的註冊詳細資訊，請參閱如何管理裝置註冊。

個別註冊
群組註冊

建立 DPS 個別註冊

提示

本文中的步驟適用於 Azure 入口網站，但您也可以使用 Azure CLI 建立個別註冊。如需詳細資訊，請參閱 az iot dps 註冊。 CLI 命令中會使用「啟用 Edge」旗標來指定 IoT Edge 裝置的註冊。

在 Azure 入口網站中，導覽至 IoT 中樞裝置佈建服務的執行個體。
在 [設定] 下方，選取 [管理註冊]。
選取 [新增個別註冊]，然後完成下列步驟以設定註冊：
1. 針對 [機制]，選取 [對稱金鑰]。
2. 為您的裝置建立唯一的註冊識別碼。
3. 或者，您也可以為裝置提供 IoT 中樞裝置識別碼。您可以使用裝置識別碼，將個別裝置設為模組部署的目標。如果您未提供裝置識別碼，則會使用註冊識別碼。
4. 選取 [True] 以宣告註冊適用於 IoT Edge 裝置。
5. 或者，您也可將標記值新增至 [初始裝置對應項狀態]。您可以使用標記將裝置群組設定為模組部署的目標。例如：
```
{
   "tags": {
      "environment": "test"
   },
   "properties": {
      "desired": {}
   }
}
```
6. 選取 [儲存]。
複製個別註冊的主索引鍵值，以在安裝 IoT Edge 執行階段時使用。

現在此裝置已有註冊，因此 IoT Edge 執行階段可以在安裝期間自動佈建此裝置。

建立 DPS 群組註冊

提示

本文中的步驟適用於 Azure 入口網站，但您也可以使用 Azure CLI 建立群組註冊。如需詳細資訊，請參閱 az iot dps enrollment-group。 CLI 命令中會使用「啟用 Edge」旗標來指定 IoT Edge 裝置的註冊。在群組註冊中，所有裝置都必須是 IoT Edge 裝置，或是全都不是。

在 Azure 入口網站中，導覽至 IoT 中樞裝置佈建服務的執行個體。
在 [設定] 下方，選取 [管理註冊]。
選取 [新增個別註冊]，然後完成下列步驟以設定註冊：
1. 提供群組名稱。
2. 選取 [對稱金鑰] 作為證明類型。
3. 選取 [True] 以宣告註冊適用於 IoT Edge 裝置。在群組註冊中，所有裝置都必須是 IoT Edge 裝置，或是全都不是。
4. 或者，您也可將標記值新增至 [初始裝置對應項狀態]。您可以使用標記將裝置群組設定為模組部署的目標。例如：
```
{
   "tags": {
      "environment": "test"
   },
   "properties": {
      "desired": {}
   }
}
```
5. 選取 [儲存]。
複製註冊群組的主索引鍵值，以在建立裝置金鑰時搭配使用群組註冊。

現在註冊群組已存在，因此 IoT Edge 執行階段可以在安裝期間自動佈建裝置。

衍生裝置金鑰

每個佈建為群組註冊一部分的裝置都需要衍生裝置金鑰，才能在佈建期間與註冊一起執行對稱金鑰證明。

若要產生裝置金鑰，請使用從 DPS 註冊群組複製的金鑰，為裝置計算唯一註冊識別碼的 HMAC-SHA256，並將結果轉換為 Base64 格式。

重要

請勿在裝置程式碼中包含註冊的主要或次要金鑰。

在 Windows 上，您可以使用 PowerShell 來產生衍生的裝置金鑰，如下列範例所示。

將 KEY 的值取代為您先前記下的 [主要金鑰]。

將 REG_ID 的值取代為您裝置的註冊識別碼。

$KEY='PASTE_YOUR_ENROLLMENT_KEY_HERE'
$REG_ID='PASTE_YOUR_REGISTRATION_ID_HERE'

$hmacsha256 = New-Object System.Security.Cryptography.HMACSHA256
$hmacsha256.key = [Convert]::FromBase64String($KEY)
$sig = $hmacsha256.ComputeHash([Text.Encoding]::ASCII.GetBytes($REG_ID))
$derivedkey = [Convert]::ToBase64String($sig)
echo "`n$derivedkey`n"

以下是衍生裝置金鑰的範例輸出：

Jsm0lyGpjaVYVP2g3FnmnmG9dI/9qU24wNoykUmermc=

安裝 IoT Edge

在本節中，您將為 IoT Edge 準備 Linux 虛擬機器或實體裝置。然後，您會安裝 IoT Edge。

執行下列命令以新增套件存放庫，然後將 Microsoft 套件簽署金鑰新增至信任金鑰的清單。

重要

2022 年 6 月 30 日，Raspberry Pi OS Stretch 已從第 1 層 OS 支援清單中淘汰。若要避免潛在的安全性弱點，請將主機 OS 更新為 Bullseye。

對於第 2 層支援的平台作業系統，Azure IoT Edge 版本會提供安裝套件。請參閱離線或特定版本安裝中的安裝步驟（選擇性）。

您可以使用幾個命令來完成安裝。開啟終端機，然後執行下列命令：

24.04：

wget https://packages.microsoft.com/config/ubuntu/24.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

22.04：

wget https://packages.microsoft.com/config/ubuntu/22.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

20.04：

wget https://packages.microsoft.com/config/ubuntu/20.04/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
rm packages-microsoft-prod.deb

您可以使用幾個命令來使用 APT 完成安裝。開啟終端機，然後執行下列命令：

12 - Bookworm (arm32v7)：

curl https://packages.microsoft.com/config/debian/12/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
sudo apt install ./packages-microsoft-prod.deb

11 - Bullseye (arm32v7)：

curl https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb > ./packages-microsoft-prod.deb
sudo apt install ./packages-microsoft-prod.deb

提示

如果您在 OS 安裝期間提供「根」帳戶密碼，則不需要『sudo』，而且可以從『apt』開始執行先前的命令。

您可以使用幾個命令來完成安裝。開啟終端機，然後執行下列命令：

9.x (amd64)：

  wget https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
  sudo yum localinstall packages-microsoft-prod.rpm
  rm packages-microsoft-prod.rpm

8.x (amd64)：

  wget https://packages.microsoft.com/config/rhel/8/packages-microsoft-prod.rpm -O packages-microsoft-prod.rpm
  sudo yum localinstall packages-microsoft-prod.rpm
  rm packages-microsoft-prod.rpm

如需作業系統版本的詳細資訊，請參閱 Azure IoT Edge 支援的平台。

注意

使用 Azure IoT Edge 軟體套件時，必須遵守每個封裝中的授權條款 (usr/share/doc/{package-name} 或 LICENSE 目錄)。使用套件之前請先閱讀授權條款。安裝及使用套件即表示接受這些授權條款。如果您不同意授權條款，請勿使用該套件。

安裝容器引擎

Azure IoT Edge 會依賴 OCI 相容的容器執行階段。針對實際執行案例，建議使用 Moby 引擎。 Moby 引擎是 IoT Edge 正式支援的唯一容器引擎。 Docker CE/EE 容器映像與 Moby 執行階段相容。如果您使用 Ubuntu Core 快照，Docker 快照是由 Canonical 提供服務，且支援生產環境。

安裝 Moby 引擎。

sudo apt-get update; \
  sudo apt-get install moby-engine

安裝 Moby 引擎。

sudo apt-get update; \
  sudo apt-get install moby-engine

安裝 Moby 引擎與 CLI。

sudo yum install moby-engine moby-cli

提示

如果您在安裝 Moby 容器引擎時發生錯誤，請確認您的 Linux 核心與 Moby 相容。某些嵌入式裝置製造商會提供包含自訂 Linux 核心的裝置影像，而不需要容器引擎相容性所需的功能。執行下列命令，此命令會使用 Moby 所提供的檢查設定指令碼來檢查您的核心設定：

curl -ssl https://raw.githubusercontent.com/moby/moby/master/contrib/check-config.sh -o check-config.sh
chmod +x check-config.sh
./check-config.sh

在指令碼的輸出中，檢查所有在Generally Necessary 和 Network Drivers 下的項目是否已啟用。如果您缺少功能，請從原始碼重建核心，然後選取相關聯的模組以納入適當的核心 .config 來加以啟用。同樣地，如果您使用 defconfig 或 menuconfig 等核心設定產生器，請尋找並啟用個別的功能，並據此重建您的核心。部署新修改的核心之後，請再次執行 check-config 腳本，以確認所有必要功能都已成功啟用。

IoT Edge 具有 Docker 和 IoT 身分識別服務的相依性。使用下列命令以安裝相依性：

sudo snap install docker
sudo snap install azure-iot-identity

Docker Snap 由 Canonical 提供服務，並支援生產案例。

依預設，容器引擎不會設定容器記錄大小限制。一段時間后，這種情況可能會導致裝置填滿記錄，並用盡磁碟空間。不過，您可以將記錄設定為在本機顯示，但這是選擇性的。若要深入了解記錄設定，請參閱準備在生產環境中部署IoT Edge解決方案。

下列步驟示範如何將容器設定為使用 local 記錄驅動程式作為記錄機制。

Ubuntu / Debian / RHEL
Ubuntu Core Snap

建立或編輯現有 Docker 精靈的組態檔
```
sudo nano /etc/docker/daemon.json
```
將預設記錄驅動程式設定為 local 記錄驅動程式，如範例所示。
```
   {
      "log-driver": "local"
   }
```
重新啟動容器引擎，讓變更生效。
```
sudo systemctl restart docker
```

安裝 IoT Edge 執行階段

IoT Edge 服務提供及維護 IoT Edge 裝置的安全性標準。此服務會在每次開機時啟動，並藉由啟動 IoT Edge 執行階段讓裝置進入啟動程序。

注意

從 1.2 版開始， Azure IoT 身分識別服務會處理 IoT Edge 的身分識別布建和管理，以及需要與 IoT 中樞通訊的其他裝置元件。

本節中的步驟代表在具有網際網路連線的裝置上安裝最新 IoT Edge 版本的一般程序。如果您需要安裝特定版本，例如發行前版本，或需要在離線時安裝，請遵循本文稍後的 離線或特定版本安裝 步驟。

提示

如果您已經有執行舊版且想要升級至最新版本的 IoT Edge 裝置，請使用更新 IoT Edge 中的步驟。較新版本與舊版 IoT Edge 有明顯的不同，因此升級時需要特定步驟。

安裝最新版本的 IoT Edge 和 IoT 識別服務套件 (如果您尚未擁有最新版本)：

22.04：

sudo apt-get update; \
   sudo apt-get install aziot-edge

20.04：

sudo apt-get update; \
   sudo apt-get install aziot-edge

安裝最新版本的 IoT Edge 和 IoT 識別服務套件 (如果您尚未擁有最新版本)：

sudo apt-get update; \
  sudo apt-get install aziot-edge

安裝最新版本的 IoT Edge 和 IoT 識別服務套件 (如果您尚未擁有最新版本)：

sudo yum install aziot-edge

從 Snap Store 安裝 IoT Edge：

sudo snap install azure-iot-edge

連線 Snap

根據預設，Snap 無相依性、未受信任且受到嚴格限制。因此，Snap 必須在安裝之後連線到其他 Snap 和系統資源。使用下列命令，連線至彼此的 IoT 身分識別服務和 IoT Edge Snap 以及系統資源。若要開始使用，必須手動連線 Snap。針對生產環境部署，可以設定為自動連線以減少佈建工作負載。

#------------------------
#  IoT Identity Service
#------------------------

# Connect the Identity Service snap to the logging system
# and grant permission to query system info

sudo snap connect azure-iot-identity:log-observe
sudo snap connect azure-iot-identity:mount-observe
sudo snap connect azure-iot-identity:system-observe
sudo snap connect azure-iot-identity:hostname-control

# If using a TPM, enable TPM access

sudo snap connect azure-iot-identity:tpm

#------------
#  IoT Edge
#------------

# Connect to your /home directory to enable writing support bundles

sudo snap connect azure-iot-edge:home

# Connect to logging and grant permission to query system info

sudo snap connect azure-iot-edge:log-observe
sudo snap connect azure-iot-edge:mount-observe
sudo snap connect azure-iot-edge:system-observe
sudo snap connect azure-iot-edge:hostname-control
# Allow IoT Edge to connect to the /var/run/iotedge folder and use sockets

sudo snap connect azure-iot-edge:run-iotedge

# Connect IoT Edge to Docker

sudo snap connect azure-iot-edge:docker docker:docker-daemon

使用雲端身分識別來佈建裝置

在裝置上安裝執行階段之後，請使用裝置用來連線至裝置佈建服務和 IoT 中樞的資訊來設定裝置。

請備妥下列資訊：

DPS 識別碼範圍值
您建立的裝置註冊識別碼
來自個別註冊的主索引鍵，或是使用群組註冊之裝置的衍生金鑰。

根據作為安裝 IoT Edge 期間提供的範本檔案，為您的裝置建立組態檔。

Ubuntu / Debian / RHEL
Ubuntu Core Snap

sudo cp /etc/aziot/config.toml.edge.template /etc/aziot/config.toml

開啟 IoT Edge 裝置上的組態檔。

sudo nano /etc/aziot/config.toml

如果您使用 Snap 安裝的 IoT Edge，模板檔案位於 /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template。將範本檔案複製到主目錄，並將它命名為 config.toml。例如：

cp /snap/azure-iot-edge/current/etc/aziot/config.toml.edge.template ~/config.toml

在 IoT Edge 裝置的主目錄中開啟組態檔。

nano ~/config.toml

尋找該檔案的 [佈建] 區段。使用對稱金鑰取消批注 DPS 佈建的行，並確定已批注其他所有佈建行。

# DPS provisioning with symmetric key
[provisioning]
source = "dps"
global_endpoint = "https://global.azure-devices-provisioning.net"
id_scope = "PASTE_YOUR_SCOPE_ID_HERE"

# Uncomment to send a custom payload during DPS registration
# payload = { uri = "PATH_TO_JSON_FILE" }

[provisioning.attestation]
method = "symmetric_key"
registration_id = "PASTE_YOUR_REGISTRATION_ID_HERE"

symmetric_key = { value = "PASTE_YOUR_PRIMARY_KEY_OR_DERIVED_KEY_HERE" }

# auto_reprovisioning_mode = Dynamic

使用 DPS 和裝置資訊更新 id_scope、registration_id 和 symmetric_key 的值。

對稱金鑰參數可以接受內嵌密鑰、檔案 URI 或 PKCS#11 URI。根據您使用的格式，僅取消批注一個對稱密鑰行。如果您使用內嵌密鑰，請使用base64編碼的密鑰，例如範例。如果您使用檔案 URI，您的檔案必須包含金鑰的原始位元組。

如果您使用任何 PKCS#11 URI，請在組態檔中尋找 PKCS#11 區段，並輸入您的 PKCS#11 組態資訊。

如需佈建組態設定的詳細資訊，請參閱設定 IoT Edge 裝置設定。
或者，尋找該檔案的自動重新佈建模式區段。使用auto_reprovisioning_mode參數來設定裝置的重新布建行為。動態 - 當裝置偵測到它可以從一個 IoT 中樞移至另一個 IoT 中樞時，重新佈建。這是預設值。 AlwaysOnStartup - 裝置重新開機或當機時重新佈建會導致精靈重新啟動。 OnErrorOnly - 永遠不會自動觸發裝置重新佈建。如果裝置因為連線錯誤而無法在身分識別設定期間連線到IoT中樞，則每個模式都有一個隱性裝置重新配置後援機制。如需詳細資訊，請參閱 IoT 中樞裝置重新佈建概念。
選擇性地取消註解 payload 參數，以指定本機 JSON 檔案的路徑。當裝置註冊時，檔案的內容會以其他數據的形式傳送至 DPS 。這適用於自訂配置。例如，如果您想要根據 IoT 隨插即用模型識別碼來配置裝置，而不需人為介入。
儲存並關閉檔案。

套用您在裝置上所做的設定變更。

Ubuntu / Debian / RHEL
Ubuntu Core Snap

sudo iotedge config apply

sudo snap set azure-iot-edge raw-config="$(cat ~/config.toml)"

檢查安裝成功

如果執行程式成功啟動，請前往您的 IoT 中樞，並開始將 IoT Edge 模組部署到裝置上。

個別註冊
群組註冊

檢查您在裝置布建服務中建立的個別註冊是否已使用。移至 Azure 入口網站中您的裝置佈建服務執行個體。查看您創建的個別註冊詳情。註冊狀態為指派，設備ID已列出。

在您的裝置上執行這些命令，以檢查 IoT Edge 是否已安裝並成功啟動。

檢查 IoT Edge 服務的狀態。
```
sudo iotedge system status
```
檢視服務記錄。
```
sudo iotedge system logs
```
列出執行中的模組。
```
sudo iotedge list
```

下一步

裝置佈建服務註冊過程可讓您在設定新裝置時設定裝置 ID 和裝置對應雙重標籤。使用這些值，以具有自動裝置管理的個別裝置或裝置群組為目標。瞭解如何使用 Azure 入口網站或 Azure CLI 大規模部署和監視 IoT Edge 模組。

意見反應

此頁面對您有幫助嗎？

Last updated on 2025-05-20

共用方式為

使用對稱金鑰大規模在 Linux 上建立及佈建 IoT Edge 裝置

必要條件

雲端資源

裝置需求

建立 DPS 註冊

建立 DPS 個別註冊

安裝 IoT Edge

安裝容器引擎

安裝 IoT Edge 執行階段

使用雲端身分識別來佈建裝置

檢查安裝成功

下一步

意見反應

其他資源