Azure IoT Hub vs Event Hubs-authenticatie: symmetrische sleutels vs X.509-certificaten in de maakindustrie

By Mirko Peters · 2026-10-23

Vergelijk de authenticatie van Azure IoT Hub en Event Hubs voor industriële omgevingen. Ontdek wanneer je symmetrische SAS-sleutels gebruikt en wanneer X.509-certificaten.

Automatically translated with AI from the original post. Read the English original

Welke Azure-ingestionservice je kiest voor industriële machines hangt sterk af van je authenticatiearchitectuur en de eisen die je aan de levenscyclus van apparaten stelt. Beide services verwerken eventstromen, maar wie de verschillen in credentialbeheer tussen IoT Hub en Event Hubs begrijpt, voorkomt ernstige kwetsbaarheden op de fabrieksvloer en ongeplande productiestoringen.

Belangrijkste punten

• Azure IoT Hub biedt identiteitsregisters per apparaat en device twins, terwijl Event Hubs vertrouwt op SAS-beleid op namespace-niveau zonder ingebouwd beheer van de levenscyclus van apparaten.
• Symmetrische sleutels met Shared Access Signatures (SAS) zijn ideaal voor industriële hardware met beperkte capaciteit, maar vormen een beveiligingsrisico als sleutels over meerdere gateways gecompromitteerd raken.
• X.509-certificaten bieden een robuuste, door een certificeringsinstantie ondersteunde vertrouwensketen voor grotere productieparken, al vereisen ze wel strikte processen voor het roteren van certificaten gedurende hun levenscyclus.
• Het door elkaar halen van de identiteitsarchitectuur van apparaten en pure streamverwerking leidt tijdens beveiligingsincidenten vaak tot catastrofale stilleggingen van de hele fabriek.
• Een hybride Azure-architectuur gebruikt IoT Hub aan de verbindingsgrens voor identiteit en vertrouwen, gecombineerd met Event Hubs stroomafwaarts voor streamverwerking met een hoog volume.

Het authenticatiedilemma op de fabrieksvloer

Wanneer engineeringteams voor het eerst plantelemetrie aansluiten op de Microsoft-cloud, beoordelen ze services vaak puur op doorvoercapaciteit of op eenvoudige introductietutorials. Die blinde vlek leidt vaak tot fundamentele beveiligingsfouten. Op een echte productievloer met programmeerbare logische controllers (PLC's), manufacturing execution systems (MES) en lokale edge-gateways vormt elk verbonden onderdeel een mogelijke aanvalsvector. De kernuitdaging is het beantwoorden van een fundamentele operationele vraag: wie beheert de machineverbinding, en wie beheert de credential?

In veel legacy-implementaties kent het OT-team (Operational Technology) het fysieke object en de exacte locatie op lijn vier, terwijl het clouddevelopmentteam een verbindingsreeks heeft die in een configuratiebestand staat. Vaak weet geen van beide teams of die credential hoort bij een geïsoleerde lijngateway, bij een buiten gebruik gestelde testunit of bij een tijdelijk integratiescript dat jaren geleden is geschreven. Wanneer zich een incident voordoet, zoals verdachte afwijkingen in payloads of vermoedelijk gelekte sleutels, moet het beveiligingsteam één verdachte gateway kunnen isoleren zonder de hele fabriek blind te maken. Als je architectuur afhankelijk is van gedeelde credentials die verspreid zijn over meerdere fysieke locaties, verandert een identiteitsprobleem direct in een dure productiestilstand.

IoT Hub als gecontroleerde identiteitspoort

Om productieomgevingen goed te beveiligen, moeten architecten Azure IoT Hub niet zien als louter een gebeurtenisontvanger, maar als een strikte identiteitspoort. IoT Hub houdt een expliciet register per apparaat bij. Elke edge-gateway, computer op de productielijn of rechtstreekse veldsensor legt een afzonderlijke, geauthenticeerde relatie met de cloud. Dankzij dit register op individueel niveau kunnen beheerders van cloudbeveiliging specifieke hardwarecomponenten onafhankelijk van elkaar inschakelen, uitschakelen of isoleren.

Daarnaast ondersteunt IoT Hub standaard apparaat-twins, die de gewenste en gerapporteerde configuratiestatus bijhouden. Als een lijngateway offline gaat, blijft de configuratiestatus intact in de cloud, zodat het systeem de gewenste instellingen op het moment dat de verbinding is hersteld kan synchroniseren. Hoogfrequente sensortelemetrie mag echter nooit worden verward met de apparaatstatus of worden opgeslagen in apparaat-twins. IoT Hub richt zich volledig op de levenscyclus van apparaten, authenticatie, veilige berichtgrenzen en het beheer van configuraties op afstand.

Symmetrische sleutels versus X.509-certificaten in productie

Bij het configureren van authenticatie in IoT Hub moeten engineers kiezen tussen twee primaire cryptografische benaderingen:

• Symmetrische sleutels (SAS-tokens): Zeer praktisch voor beperkte hardware en eenvoudige edge-gateways die geen gespecialiseerde cryptografische hardware hebben. Ze vereisen echter uitzonderlijk veilige lokale opslag. Als symmetrische sleutels hardcoded zijn of over meerdere lijngateways worden gedeeld, dan stopt het roteren van een gecompromitteerde sleutel per ongeluk meerdere productielijnen.
• X.509-certificaten: De gouden standaard voor industriële apparatenparken op ondernemingsniveau. Door gebruik te maken van een vertrouwde interne of externe certificeringsinstantie (CA) bouwen organisaties heldere cryptografische vertrouwensketens op. X.509-certificaten vragen weliswaar om geautomatiseerd levenscyclusbeheer en robuuste roteringsschema's, maar ze elimineren de kwetsbaarheden die samenhangen met statische, gedeelde sleutels.

Event Hubs en beveiliging op namespace-niveau

In tegenstelling tot IoT Hub fungeert Azure Event Hubs als een snelle dataweg. Het beheert geen apparaatidentiteiten, firmwareversies, gewenste configuratie-eigenschappen of levenscycli van afzonderlijke hardware. Event Hubs richt zich volledig op het opnemen van grote hoeveelheden streamingdata, partities, consumentengroepen en parallelle streamverwerking voor onafhankelijke downstream-consumenten, zoals datalakes, OEE-calculators en opnamepijplijnen van Microsoft Fabric.

De beveiliging van Event Hubs wordt beheerd op namespace-niveau, met Shared Access Signatures (SAS) of RBAC-beleidsregels in Azure Active Directory (Entra ID). Omdat Event Hubs inkomende payloads behandelt als anonieme berichtstromen, ontbreken de mechanismen om één fysieke machine uit te schakelen of een afwijkende edge-gateway te isoleren zonder de brede autorisatieregels voor publishers te wijzigen. Als je ruwe, niet-geauthenticeerde machines op de productievloer rechtstreeks op een Event Hub laat aansluiten, verlies je daarom de mogelijkheid om apparaatvertrouwen en beveiligingsgrenzen te beheren.

Architectuurbest practices: beide services combineren

De meest veerkrachtige architecturen voor productie-ondernemingen dwingen geen valse keuze af tussen IoT Hub en Event Hubs. In plaats daarvan combineren ze beide services om hun respectievelijke sterke punten te benutten. Door Azure IoT Hub op de verbindingsgrens te plaatsen, dwingen organisaties strikte apparaatidentiteit af, beheren ze X.509-certificaten of SAS-sleutels, isoleren ze gecompromitteerde hardware tijdens beveiligingsaudits en houden ze toezicht op de configuratiestatus van de edge.

Zodra het verkeer veilig de IoT Hub-poort is gepasseerd, kan het veilig downstream worden doorgestuurd naar Azure Event Hubs. Via deze overdracht kunnen meerdere onafhankelijke downstream-systemen, zoals analyses voor predictief onderhoud, machine learning-modellen en realtime operationele dashboards, het streamingdatavolume consumeren via eigen consumentengroepen, zonder het apparaatbeheer, de beveiligingsmaatregelen of de veiligheidsprotocollen in de fabriek te verstoren.

Wil je deze architectuurnuances verder verkennen en ontdekken hoe je conflicterende dashboards met productietelemetrie kunt voorkomen? Luister de volledige aflevering. Luister naar de volledige discussie voor diepgaande, praktische strategieën om je Microsoft-cloudomgevingen en moderne werkplekinfrastructuur te optimaliseren.

Veelgestelde vragen

Waarom kan Event Hubs de authenticatie van afzonderlijke fabrieksapparaten niet afhandelen?

Event Hubs is ontworpen als een datasnelweg met hoge doorvoer. Het werkt met verbindingsreeksen en SAS-beleid op namespace-niveau, en houdt niet bij welke individuele hardwareapparaten, firmwareversies of levenscyclusstatussen er zijn.

Zijn symmetrische sleutels veilig voor industriële edge-gateways?

Symmetrische sleutels via SAS-tokens werken goed voor hardware met beperkte capaciteit, maar ze brengen ernstige operationele risico's met zich mee in productiefabrieken als meerdere gateways dezelfde sleutel delen. Als je één gecompromitteerde referentie intrekt, verbreek je per ongeluk de communicatie voor de hele productielijn.

Hoe verbeteren X.509-certificaten de cyberbeveiliging op de fabriekvloer?

X.509-certificaten gebruiken een vertrouwde certificeringsinstantie om elke gateway op de fabriekvloer afzonderlijk te valideren. Hierdoor kunnen beveiligingsteams één gecompromitteerde lijngateway isoleren, uitschakelen of vervangen zonder de telemetriestroom voor de rest van de faciliteit te verstoren.

Kan ik Azure IoT Hub en Event Hubs combineren in één productiearchitectuur?

Ja. Het optimale patroon voor productiebedrijven plaatst IoT Hub aan de rand van het netwerk, waar het apparaatidentiteit, veilige authenticatie en configuratiestatus afhandelt. Genormaliseerde telemetrie wordt vervolgens doorgestuurd naar Event Hubs voor parallelle streamverwerking.