硬件安全性集成

初始化硬件安全模块

• 在 HSM 中初始化 PKCS #11 令牌，然后保存该令牌的插槽 ID 和用户 PIN。查看 HSM 的文档，了解如何初始化令牌。稍后在部署和配置 PKCS #11 提供商组件时，您可以使用插槽 ID 和用户 PIN。

更新核心设备上的配置以使用硬件安全

1. 停止Amazon IoT Greengrass核心软件。如果您使用 systemd 将Amazon IoT Greengrass Core 软件配置为系统服务，则可以运行以下命令来停止该软件。

   sudo systemctl stop greengrass.service

2. 查找核心设备的私钥和证书文件。

   • 如果您安装了带有自动配置或队列配置的Amazon IoT Greengrass核心软件，则私钥存在于/greengrass/v2/privKey.key，证书存在于/greengrass/v2/thingCert.crt。

   • 如果您安装了手动配置的Amazon IoT Greengrass Core 软件，则/greengrass/v2/private.pem.key默认情况下私钥存在，/greengrass/v2/device.pem.crt默认情况下证书存在。

   您也可以在中查看system.privateKeyPath和system.certificateFilePath属性/greengrass/v2/config/effectiveConfig.yaml以查找这些文件的位置。

3. 将私钥和证书导入 HSM。查看 HSM 的文档，了解如何将私钥和证书导入其中。使用之前初始化 PKCS #11 令牌的插槽 ID 和用户 PIN 导入私钥和证书。私钥和证书必须使用相同的对象标签和对象 ID。保存您在导入每个文件时指定的对象标签。稍后在更新Amazon IoT Greengrass Core 软件配置以使用 HSM 中的私钥和证书时，您可以使用此标签。

4. 更新Amazon IoT Greengrass核心配置以使用 HSM 中的私钥和证书。要更新配置，请修改Amazon IoT Greengrass Core 配置文件并使用更新的配置文件运行Amazon IoT Greengrass Core 软件以应用新配置。

   执行以下操作：

   1. 创建Amazon IoT Greengrass Core 配置文件的备份。如果您在配置硬件安全时遇到问题，可以使用此备份来恢复核心设备。

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. 在文本编辑器中打开Amazon IoT Greengrass Core 配置文件。例如，可以运行以下命令使用 GNU nano 来编辑文件。将 /greengrass/v2 替换为 Greengrass 根文件夹的路径。

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. 将的system.privateKeyPath值替换为 HSM 中私钥的 PKCS #11 URI。将 iotdevicekey 替换为之前导入私钥和证书的对象标签。

      pkcs11:object=iotdevicekey;type=private

   4. 将的system.certificateFilePath值替换为 HSM 中证书的 PKCS #11 URI。将 iotdevicekey 替换为之前导入私钥和证书的对象标签。

      pkcs11:object=iotdevicekey;type=cert

   完成这些步骤后，Amazon IoT GreengrassCore 配置文件中的system属性应类似于以下示例。

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. 在更新后的effectiveConfig.yaml文件中应用配置。Greengrass.jar使用--init-config参数运行以在中应用配置effectiveConfig.yaml。将 /greengrass/v2 替换为 Greengrass 根文件夹的路径。

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. 启动Amazon IoT Greengrass核心软件。如果您使用 systemd 将Amazon IoT Greengrass Core 软件配置为系统服务，则可以运行以下命令来启动该软件。

   sudo systemctl start greengrass.service

   有关更多信息，请参阅运行Amazon IoT GreengrassCore 软件：

7. 检查 CAmazon IoT Greengrass ore 软件日志，验证软件是否已启动并连接到Amazon Web Services 云。CAmazon IoT Greengrass ore 软件使用私钥和证书连接到Amazon IoT和Amazon IoT Greengrass服务。

   sudo tail -f /greengrass/v2/logs/greengrass.log

   以下信息级别的日志消息表明 CAmazon IoT Greengrass ore 软件成功连接到Amazon IoT和Amazon IoT Greengrass服务。

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. （可选）验证Amazon IoT Greengrass核心软件是否可以使用 HSM 中的私钥和证书后，从设备的文件系统中删除私钥和证书文件。运行以下命令，将文件路径替换为私钥和证书文件的路径。

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt