硬件安全性集成

初始化硬件安全模块

• 在 HSM 中初始化 PKCS#11 令牌，然后保存该令牌的槽 ID 和用户 PIN。查看 HSM 的文档，了解如何初始化令牌。稍后在部署和配置 PKCS#11 提供程序组件时，您将用到槽 ID 和用户 PIN。

更新核心设备上的配置以采用硬件安全性

1. 停止 Amazon IoT Greengrass 核心软件。如果您使用 systemd 将 Amazon IoT Greengrass 核心软件配置为系统服务，则可以运行以下命令来停止该软件。

   sudo systemctl stop greengrass.service

2. 找到核心设备的私有密钥和证书文件。

   • 如果您安装了具有自动配置或队列配置功能的 C Amazon IoT Greengrass ore 软件，则私钥存在于/greengrass/v2/privKey.key，证书存在于/greengrass/v2/thingCert.crt。

   • 如果您安装了手动配置的 Amazon IoT Greengrass Core 软件，则/greengrass/v2/private.pem.key默认情况下私钥存在，证书/greengrass/v2/device.pem.crt默认存在。

   您也可以在 /greengrass/v2/config/effectiveConfig.yaml 中查看 system.privateKeyPath 和 system.certificateFilePath 属性以查找这些文件的位置。

3. 将私有密钥和证书导入 HSM。查看 HSM 文档，了解如何导入私有密钥和证书。使用之前初始化 PKCS#11 令牌的槽 ID 和用户 PIN 导入私有密钥和证书。私有密钥和证书必须使用相同的对象标签和对象 ID。保存您在导入每个文件时指定的对象标签。稍后在更新 Amazon IoT Greengrass Core 软件配置以使用 HSM 中的私钥和证书时，您将使用此标签。

4. 更新 Amazon IoT Greengrass 核心配置以使用 HSM 中的私钥和证书。要更新配置，您可以修改 Amazon IoT Greengrass 核心配置文件，然后使用更新的配置文件运行 Amazon IoT Greengrass 核心软件以应用新的配置。

   执行以下操作：

   1. 创建 Amazon IoT Greengrass 核心配置文件的备份。如果您在配置硬件安全性时遇到问题，可以使用此备份来恢复核心设备。

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. 在文本编辑器中打开 Amazon IoT Greengrass 核心配置文件。例如，您可以运行以下命令来使用 GNU nano 编辑文件。将 /greengrass/v2 替换为 Greengrass 根文件夹的路径。

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. 将 system.privateKeyPath 的值替换为 HSM 中私有密钥的 PKCS#11 URI。iotdevicekey替换为之前导入私钥和证书的对象标签。

      pkcs11:object=iotdevicekey;type=private

   4. 将 system.certificateFilePath 的值替换为 HSM 中证书的 PKCS#11 URI。iotdevicekey替换为之前导入私钥和证书的对象标签。

      pkcs11:object=iotdevicekey;type=cert

   完成这些步骤后， Amazon IoT Greengrass Core 配置文件中的system属性应与以下示例类似。

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. 在更新的 effectiveConfig.yaml 文件中应用配置。使用 --init-config 参数运行 Greengrass.jar 以在 effectiveConfig.yaml 中应用配置。将 /greengrass/v2 替换为 Greengrass 根文件夹的路径。

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. 启动 Amazon IoT Greengrass 核心软件。如果您使用 systemd 将 Amazon IoT Greengrass 核心软件配置为系统服务，则可以运行以下命令来启动该软件。

   sudo systemctl start greengrass.service

   有关更多信息，请参阅 运行 Amazon IoT Greengrass 核心软件。

7. 查看 Amazon IoT Greengrass Core 软件日志，验证软件是否启动并连接到 Amazon Web Services 云。C Amazon IoT Greengrass ore 软件使用私钥和证书连接到 Amazon IoT 和 Amazon IoT Greengrass 服务。

   sudo tail -f /greengrass/v2/logs/greengrass.log

   以下信息级别的日志消息表明 Amazon IoT Greengrass Core 软件已成功连接到 Amazon IoT 和 Amazon IoT Greengrass 服务。

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. （可选）在验证 Amazon IoT Greengrass 核心软件是否可以使用 HSM 中的私钥和证书后，从设备的文件系统中删除私钥和证书文件。运行以下命令，并将文件路径替换为该私有密钥和证书文件的路径。

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt