Azure DPS: dlaczego zapewnienie 100 000 urządzeń IoT to problem architektoniczny

Konfigurowanie dziesięciu urządzeń na hali produkcyjnej jest proste, ponieważ technik może bez trudu wpisać ciąg połączenia i potwierdzić odbiór telemetrii. Jednak próba zastosowania tego samego ręcznego podejścia do stu tysięcy urządzeń rozmieszczonych w fabrykach i sieciach klientów na całym świecie powoduje, że każdy skrót przeradza się w błąd architektoniczny. Wyjście poza podstawowe konfiguracje wymaga solidnego zrozumienia tożsamości urządzeń, granic zaufania, routingu hubów oraz długoterminowego zarządzania flotą.

TOŻSAMOŚĆ PRODUKCYJNA A TOŻSAMOŚĆ OPERACYJNABrama przemysłowa wyprodukowana w fabryce opuszcza zakład z przetestowanym obrazem oprogramowania i lokalnymi konfiguracjami sterowników, ale nigdy nie powinna zawierać na stałe wpisanego ciągu połączenia dla przyszłej fabryki. Wbudowanie trwałego ciągu połączenia w obraz tworzy ogromne zagrożenia bezpieczeństwa, jeśli sekret kiedykolwiek wycieknie. Zamiast tego należy oddzielić tożsamość produkcyjną (potwierdzającą, jaka fizyczna jednostka została zbudowana) od tożsamości operacyjnej (określającej, jak i gdzie urządzenie łączy się z chmurą). To rozdzielenie gwarantuje, że obrazy urządzeń pozostaną przenośne między różnymi środowiskami klientów i falami wdrożeń.

ROLA AZURE DEVICE PROVISIONING SERVICE (DPS)Azure Device Provisioning Service pełni funkcję bezpiecznej recepcji dla Twojego zasobu w chmurze, stojąc między nieskonfigurowanym sprzętem a konkretnym IoT Hubem, który będzie obsługiwał jego codzienny ruch. Zamiast wpisywać punkty końcowe na stałe, urządzenia przy pierwszym uruchomieniu kontaktują się z globalnym punktem końcowym aprowizacji, przedstawiają swój kryptograficzny dowód i otrzymują dane przydzielonego huba zgodnie z wcześniej zdefiniowanymi regułami. Oddziela to oprogramowanie bootstrap od ostatecznego miejsca przeznaczenia, pozwalając zarządzać wdrożeniami na dużą skalę bez ręcznego śledzenia w arkuszach kalkulacyjnych.

ZARZĄDZANIE ZAUFANIEM POPRZEZ ATESTACJĘ I REJESTRACJĘAby do Twojego środowiska trafiał wyłącznie zatwierdzony sprzęt, urządzenia muszą potwierdzić swoją tożsamość za pomocą solidnych metod atestacji kryptograficznej:

• TPM (Trusted Platform Module): wiąże tożsamość bezpośrednio z układem sprzętowym, uniemożliwiając sklonowanym obrazom dysku dziedziczenie dostępu.
  
• Certyfikaty X.509: wykorzystują certyfikaty cyfrowe i klucze prywatne, co czyni je idealnymi dla wieloetapowych łańcuchów dostaw i długowiecznych flot.
  
• Klucze symetryczne: opierają się na wspólnych sekretach, co może upraszczać konfiguracje laboratoryjne, ale wymaga rygorystycznej ochrony przed wyciekiem.
  

Dzięki grupom rejestracji można stosować spójne polityki bezpieczeństwa dla całych rodzin urządzeń, zamiast ręcznie konfigurować tysiące pojedynczych rekordów.

OBSŁUGA RZECZYWISTOŚCI PIERWSZEGO URUCHOMIENIA I PRZYDZIAŁU HUBÓWWarunki pierwszego uruchomienia w zakładach przemysłowych rzadko są idealne, dlatego oprogramowanie bootstrap musi w bezpieczny sposób radzić sobie z brakiem sieci, konfiguracjami proxy, opóźnieniami DNS i dryfem zegara, stosując bezpieczną logikę ponawiania prób. Po przyznaniu dostępu DPS przydziela urządzenie do IoT Hub, korzystając z takich strategii jak najniższe opóźnienie, konfiguracja statyczna lub równomierne ważone rozłożenie obciążenia. Właściwe planowanie pojemności zapewnia, że przydzielone huby poradzą sobie nie tylko z liczbą urządzeń, ale również z rzeczywistą objętością telemetrii operacyjnej i ruchem poleceń.


Zostań wspierającym tego podcastu: https://www.spreaker.com/podcast/m365-fm-a-microsoft-mvp-podcast-by-mirko-peters--6704921/support.