Azure DPS: למה הקצאת 100,000 מכשירי IoT היא בעיית ארכיטקטורה

הקמת עשרה מכשירים בקו ייצור היא פשוטה, שכן טכנאי יכול בקלות להזין מחרוזת חיבור ולאשר טלמטריה. לעומת זאת, ניסיון להשתמש באותה גישה ידנית עם מאה אלף מכשירים הפזורים במפעלים ורשתות לקוחות ברחבי העולם הופך כל קיצור דרך לכשל ארכיטקטוני. המעבר מהגדרות בסיסיות דורש הבנה מעמיקה של זהות מכשירים, גבולות אמון, ניתוב דרך Hub וניהול צי לטווח ארוך.

זהות ייצור לעומת זהות תפעולית
מכשיר תעשייתי חדש שיוצא מהמפעל נושא תמונת תוכנה שנבדקה ותצורות דרייברים מקומיות, אך הוא לעולם לא צריך לשאת מחרוזת חיבור קבועה למפעל עתידי. הטמעת מחרוזת חיבור קבועה בתוך התמונה יוצרת סיכוני אבטחה עצומים אם הסוד ידלוף. במקום זאת, יש להפריד בין זהות הייצור (המוכיחה איזו יחידה פיזית נבנתה) לבין זהות התפעול (הקובעת כיצד ולאן המכשיר מתחבר לענן). הפרדה זו מבטיחה שתמונות המכשירים יישארו ניידות בין סביבות לקוחות שונות וגלי פריסה שונים.

תפקיד Azure Device Provisioning Service (DPS)
Azure Device Provisioning Service משמש כדלפק קבלה מאובטח לנכסי הענן שלכם, ועומד בין חומרה שטרם הוגדרה לבין ה-IoT Hub הספציפי שיטפל בתעבורה היומיומית שלה. במקום לקודד נקודות קצה בקשיחות, המכשירים פונים לנקודת קצה גלובלית של הקצאה בהפעלה הראשונה, מציגים את ההוכחה הקריפטוגרפית שלהם, ומקבלים את פרטי ה-Hub שהוקצה להם לפי כללים מוגדרים מראש. כך מתנתקת תוכנת האתחול מיעד הסופי, ומתאפשר לנהל פריסות בקנה מידה גדול ללא מעקב ידני בגיליונות אלקטרוניים.

ניהול אמון באמצעות אימות והרשמה
כדי להבטיח שרק חומרה מאושרת תיכנס לסביבה שלכם, מכשירים חייבים להוכיח את זהותם באמצעות שיטות אימות קריפטוגרפיות חזקות:

• TPM (Trusted Platform Module): קושר את הזהות ישירות לשבב חומרה, ומונע מתמונות דיסק משוכפלות לרשת גישה.
  
• תעודות X.509: משתמש בתעודות דיגיטליות ומפתחות פרטיים, ולכן מתאים במיוחד לשרשראות אספקה רב-שכבתיות וצי ארוך טווח.
  
• מפתחות סימטריים: מסתמך על סודות משותפים, שיכולים לפשט הגדרות מעבדה אך דורשים הגנה קפדנית מפני חילוץ.
  

באמצעות קבוצות הרשמה ניתן להחיל מדיניות אבטחה עקבית על משפחות שלמות של מכשירים, במקום להגדיר אלפי רשומות בודדות ביד.

טיפול במציאות ההפעלה הראשונה והקצאת Hub
תנאי ההפעלה הראשונה במפעלים תעשייתיים רחוקים מלהיות אידיאליים, ולכן תוכנת האתחול חייבת להתמודד בצורה מסודרת עם רשתות חסרות, הגדרות פרוקסי, עיכובים ב-DNS וסחיפת שעון, באמצעות לוגיקת ניסיונות חוזרים בטוחה. לאחר שההרשאה ניתנה, ה-DPS מקצה את המכשיר ל-IoT Hub באמצעות אסטרטגיות כגון זמן השהיה הנמוך ביותר, הגדרה סטטית או חלוקה שווה משוקללת. תכנון קיבולת נכון מבטיח שה-Hubs שהוקצו יוכלו לטפל בנוחות לא רק במספר המכשירים, אלא בנפח הטלמטריה התפעולית האמיתי ובתעבורת הפקודות.


הפכו לתומכים של הפודקאסט הזה: https://www.spreaker.com/podcast/m365-fm-a-microsoft-mvp-podcast-by-mirko-peters--6704921/support.