למה Event Hubs לא יכול לטפל באימות של מכשירים בודדים במפעל?

Event Hubs נבנה כ"כביש מהיר" לנתונים בתפוקה גבוהה. הוא מסתמך על מחרוזות חיבור ומדיניות SAS ברמת מרחב השמות (namespace), ואינו מנהל רישום מפורט של מכשירי חומרה בודדים, גרסאות קושחה או סטטוס מחזור החיים של המכשיר.

איך אישורי X.509 משפרים את אבטחת הסייבר בקומת הייצור?

אישורי X.509 משתמשים ברשות אישורים מהימנה (Certificate Authority) כדי לאמת כל שער במפעל בנפרד. כך צוות האבטחה יכול לבודד, להשבית או להחליף שער פגום אחד בקו מסוים, בלי לשבש את זרם הטלמטריה של שאר המתקן.

האם אפשר לשלב את Azure IoT Hub ו-Event Hubs בארכיטקטורת ייצור אחת?

כן. הדפוס המיטבי לייצור ארגוני ממקם את IoT Hub בגבול הקצה, כדי לטפל בזהות המכשירים, באימות מאובטח ובמצב התצורה, ומנתב טלמטריה מנורמלת במורד הזרם אל Event Hubs לעיבוד זרמים מקבילי.

ארכיטקטורת אימות ב-Azure IoT Hub לעומת Event Hubs: מפתחות סימטריים מול אישורי X.509 בסביבת ייצור

By Mirko Peters · 2026-10-23

השוואה בין אימות ב-Azure IoT Hub ל-Event Hubs בסביבות תעשייתיות. מתי כדאי להשתמש במפתחות SAS סימטריים ומתי באישורי X.509.

Automatically translated with AI from the original post. Read the English original

Titelbild: Azure IoT Hub vs Event Hubs Authentication: Symmetric Keys vs X.509 Certificates in Manufacturing

בחירת שירות הקליטה המתאים של Azure למכונות תעשייתיות תלויה במידה רבה בארכיטקטורת האימות ובדרישות מחזור החיים של המכשירים. שני השירותים קולטים זרמי אירועים, אך הבנת ההבדלים המהותיים בניהול הפרטי הזיהוי ב-IoT Hub ו-Event Hubs מונעת פרצות אבטחה חמורות בקומת הייצור ועצירות ייצור בלתי מתוכננות.

עיקרי הדברים

Azure IoT Hub מספק רישום זהויות ייעודי לכל מכשיר ו-device twins, ואילו Event Hubs נשען על מדיניות SAS ברמת מרחב השמות ללא ניהול מחזור חיים מובנה למכשירים.
מפתחות סימטריים באמצעות Shared Access Signatures (SAS) מתאימים לחומרה תעשייתית מוגבלת, אך מהווים סיכון אבטחה אם המפתחות נחשפים ומשותפים בין כמה שערים.
אישורי X.509 מציעים שרשרת אמון חזקה המבוססת על רשות אישורים, עבור צי ייצור גדול, אך הם דורשים תהליכי סבב מפתחות (rotation) קפדניים לאורך מחזור החיים.
בלבול בין ארכיטקטורת זהות מכשירים לבין עיבוד זרמים גולמי מוביל לעיתים קרובות לכיבויים חמורים של המפעל כולו במהלך תגובה לאירוע אבטחה.
ארכיטקטורת Azure היברידית משתמשת ב-IoT Hub בגבול החיבור לזהות ולאמון, לצד Event Hubs במורד הזרם לעיבוד זרמים בנפח גבוה.

דילemma האימות בקומת הייצור

כאשר צוותי הנדסה מחברים לראשונה את הטלמטריה של המפעל לענן של Microsoft, הם מעריכים לעיתים קרובות שירותים לפי קיבולת תפוקה בלבד או לפי מדריכי התחלה פשוטים. פיקוח לקוי כזה מוביל לא פעם לפגמי אבטחה יסודיים. בקומת ייצור אמיתית, שכוללת בקרים לוגיים לתכנות (PLC), מערכות ביצוע ייצור (MES) ושערי קצה מקומיים, כל רכיב מחובר מהווה וקטור תקיפה פוטנציאלי. האתגר המרכזי טמון במענה לשאלה תפעולית בסיסית: מי הבעלים של החיבור למכונה, ומי הבעלים של האישור?

בפריסות מדור קודם רבות, צוות OT (טכנולוגיות תפעול) מכיר את הנכס הפיזי ואת מיקומו המדויק בקו ארבע, בעוד שצוות הפיתוח בענן מחזיק מחרוזת חיבור השמורה בקובץ תצורה. לעיתים קרובות אף צוות אינו יודע אם האישור שייך לשער קו מבודד, ליחידת בדיקה שהוצאה משימוש או לסקריפט אינטגרציה זמני שנכתב לפני שנים. כשמתרחש אירוע, כמו חריגות חשודות במטענים או חשש לדליפת מפתחות, צוות האבטחה צריך יכולת לבודד שער חשוד יחיד בלי לעוור את כל מפעל הייצור. אם הארכיטקטורה מסתמכת על אישורים משותפים שמפוזרים על פני מיקומים פיזיים רבים, בעיית זהות הופכת מיד לעצירת ייצור יקרה.

IoT Hub כשער זהות מבוקר

כדי לאבטח כראוי סביבות מפעל, על האדריכלים לראות ב-Azure IoT Hub לא רק מקלט אירועים, אלא שער זהות מחמיר. IoT Hub מנהל רישום מפורש לכל מכשיר. כל שער קצה, מחשב קו אריזה או חיישן שטח ישיר יוצר קשר מאומת ונפרד עם הענן. רישום זהויות פרטני זה מאפשר למנהלי אבטחת הענן להפעיל, להשבית או לבודד נכסי חומרה מסוימים באופן עצמאי.

יתר על כן, IoT Hub תומך מובנה ב-device twins, שעוקבים אחר מצבי תצורה רצויים ומדווחים. אם שער קו יתנתק, מצב התצורה שלו נשמר שלם בענן, וכך המערכת יכולה ליישב את ההגדרות הרצויות ברגע שהקישוריות תחזור. עם זאת, את טלמטריית חיישנים בתדירות גבוהה אין לבלבל עם מצב מכשיר, וכלל אין לאחסן אותה בתוך device twins. IoT Hub מתמקד באופן ברור במחזורי חיים של מכשירים, באימות, בגבולות הודעות מאובטחים ובניהול תצורה מרחוק.

מפתחות סימטריים לעומת אישורי X.509 בסביבת ייצור

בהגדרת אימות ב-IoT Hub, על המהנדסים לבחור בין שתי גישות קריפטוגרפיות עיקריות:

מפתחות סימטריים (אסימוני SAS): מעשיים מאוד עבור התקנים מוגבלי משאבים ושערי קצה פשוטים שאין בהם חומרה קריפטוגרפית מיוחדת. עם זאת, הם דורשים אחסון מקומי מאובטח מאוד. אם מפתחות סימטריים מקודדים בקוד או משותפים בין מספר שערי קו, החלפת מפתח שנפרץ עלולה להשבית בטעות מספר קווי ייצור.
אישורי X.509: תקן הזהב לצי תעשייתי בקנה מידה ארגוני. באמצעות רשות אישורים (CA) פנימית או חיצונית מהימנה, ארגונים יוצרים שרשראות אמון קריפטוגרפיות נקיות. אישורי X.509 דורשים ניהול מחזור חיים אוטומטי ולוחות החלפה אמינים, אך הם מבטלים את הפגיעויות הכרוכות במפתחות משותפים סטטיים.

Event Hubs ואבטחה ברמת מרחב השמות

בניגוד ל-IoT Hub, Azure Event Hubs פועל כ"כביש מהיר" מהיר לנתונים. הוא אינו מנהל זהויות מכשירים, גרסאות קושחה, מאפייני תצורה רצויים או מחזורי חיים של חומרה בודדת. במקום זאת, Event Hubs מתמקד לחלוטין בקליטת זרמים בנפח גבוה, מחיצות, קבוצות צרכנים ועיבוד זרמים מקבילי עבור מערכות downstream עצמאיות, כמו אגמי נתונים, מחשבי OEE וצינורות קליטה של Microsoft Fabric.

האבטחה ב-Event Hubs מנוהלת ברמת מרחב השמות באמצעות Shared Access Signatures (SAS) או מדיניות RBAC של Azure Active Directory (Entra ID). מכיוון ש-Event Hubs מתייחס לנתונים נכנסים כאל זרמי הודעות anonymous, אין בו המנגנונים הנדרשים להשבית מכונה פיזית יחידה או לבודד שער קצה חשוד, בלי לשנות כללי הרשאת מפרסמים רחבים. מסיבה זו, חיבור ישיר של מכונות קומה לא מאומתות ל-Event Hub שולל מכם את היכולת לנהל אמון במכשירים ואת גבולות האבטחה.

שיטות עבודה מומלצות לארכיטקטורה: שילוב של שני השירותים

ארכיטקטורות הייצור הארגוניות החזקות ביותר אינן כופות בחירה בינארית מלאכותית בין IoT Hub ל-Event Hubs. במקום זאת, הן משלבות את שני השירותים כדי לנצל את יתרונותיהם. על ידי הצבת Azure IoT Hub בגבול החיבור, ארגונים אוכפים זהות מכשיר קפדנית, מנהלים אישורי X.509 או מפתחות SAS, מבודדים חומרה שנפרצה במהלך ביקורות אבטחה, ומפקחים על מצבי התצורה של הקצה.

לאחר שהתעבורה עוברת בבטחה דרך שער IoT Hub, ניתן לנתב אותה בבטחה אל Azure Event Hubs. מעבר זה מאפשר למערכות downstream עצמאיות רבות, כמו אנליטיקה לתחזוקה מונעת, מודלים של למידת מכונה ולוחות מחוונים תפעוליים בזמן אמת, לצרוך את זרם האירועים בנפח גבוה דרך קבוצות צרכנים ייעודיות, בלי להפריע לניהול המכשירים, לבקרות האבטחה או לפרוטוקולי הבטיחות של המפעל.

כדי לבחון את הניואנסים הארכיטקטוניים האלה ולגלות כיצד לבטל לוחות מחוונים סותרים של טלמטריה במפעל, הקפידו להאזין לפרק המלא. הצטרפו לדיון המלא לקבלת אסטרטגיות מעשיות ומעמיקות שנועדו לייעל את סביבות הענן של Microsoft ואת תשתית מקום העבודה המודרני.

שאלות נפוצות

מדוע Event Hubs לא יכול לטפל באימות של מכשירי מפעל בודדים?

Event Hubs בנויה כמסוע נתונים בעל תפוקה גבוהה, והיא משתמשת במחרוזות חיבור ובמדיניות SAS ברמת מרחב השמות (namespace), במקום לנהל רישום מפורט של התקני חומרה בודדים, גרסאות קושחה או מצבי מחזור חיים של ההתקנים.

האם מפתחות סימטריים בטוחים לשערי קצה תעשייתיים?

מפתחות סימטריים באמצעות אסימוני SAS מתאימים היטב לחומרה מוגבלת, אך הם יוצרים סיכוני תפעול משמעותיים במפעלים תעשייתיים אם כמה שערים חולקים את אותו מפתח. ביטול אישור של שער אחד שנפרץ עלול לנתק בטעות את התקשורת לכל קו הייצור.

כיצד תעודות X.509 משפרות את אבטחת הסייבר ברצפת הייצור?

תעודות X.509 משתמשות ברשות אישורים (Certificate Authority) מהימנה כדי לאמת כל שער במפעל בנפרד. כך צוותי האבטחה יכולים לבודד, להשבית או להחליף שער בודד שנפרץ בקו הייצור, מבלי לשבש את זרם הטלמטריה הרחב יותר לשאר המתקן.

האם אפשר לשלב את Azure IoT Hub ואת Event Hubs בארכיטקטורה תעשייתית אחת?

כן. דפוס הייצור הארגוני האופטימלי ממקם את IoT Hub בגבול הקצה, כדי לטפל בזהות ההתקנים, באימות מאובטח ובמצב התצורה, ומנתב את הטלמטריה המנורמלת במורד הזרם אל Event Hubs לעיבוד זרמים מקבילי.