硬件安全性集成

初始化硬件安全模块

• 在 HSM 中初始化 PKCS #11 令牌，然后保存该令牌的插槽 ID 和用户 PIN。查看 HSM 的文档，了解如何初始化令牌。稍后在部署和配置 PKCS #11 提供程序组件时，您将使用插槽 ID 和用户 PIN。

更新核心设备上的配置以使用硬件安全

1. 停止Amazon IoT Greengrass核心软件。如果您使用 systemd 将Amazon IoT Greengrass核心软件配置为系统服务，则可以运行以下命令来停止该软件。

   sudo systemctl stop greengrass.service

2. 查找核心设备的私钥和证书文件。

   • 如果您安装了具有自动配置或队列配置功能的 C Amazon IoT Greengrass ore 软件，则私钥存在于/greengrass/v2/privKey.key，证书存在于/greengrass/v2/thingCert.crt。

   • 如果您安装了手动配置的 Amazon IoT Greengrass Core 软件，则/greengrass/v2/private.pem.key默认情况下私钥存在，证书/greengrass/v2/device.pem.crt默认存在。

   您也可以查看system.privateKeyPath和system.certificateFilePath属性/greengrass/v2/config/effectiveConfig.yaml以查找这些文件的位置。

3. 将私钥和证书导入 HSM。查看 HSM 的文档，了解如何将私钥和证书导入其中。使用之前初始化 PKCS #11 令牌的插槽 ID 和用户 PIN 导入私钥和证书。私钥和证书必须使用相同的对象标签和对象 ID。保存您在导入每个文件时指定的对象标签。稍后在更新 Amazon IoT Greengrass Core 软件配置以使用 HSM 中的私钥和证书时，您将使用此标签。

4. 更新Amazon IoT Greengrass核心配置以使用 HSM 中的私钥和证书。要更新配置，您可以修改Amazon IoT Greengrass核心配置文件，然后使用更新的配置文件运行Amazon IoT Greengrass核心软件以应用新的配置。

   执行以下操作：

   1. 创建Amazon IoT Greengrass核心配置文件的备份。如果您在配置硬件安全时遇到问题，则可以使用此备份来恢复核心设备。

      sudo cp /greengrass/v2/config/effectiveConfig.yaml ~/ggc-config-backup.yaml

   2. 在文本编辑器中打开Amazon IoT Greengrass核心配置文件。例如，你可以运行以下命令来使用 GNU nano 来编辑文件。/greengrass/v2替换为 Greengrass 根文件夹的路径。

      sudo nano /greengrass/v2/config/effectiveConfig.yaml

   3. 将的值替换为 HSM 中私钥的 PKCS #11 URI。system.privateKeyPath将 iotdevicek ey 替换为之前导入私钥和证书的对象标签。

      pkcs11:object=iotdevicekey;type=private

   4. 将的值替换为 HSM 中证书的 PKCS #11 URI。system.certificateFilePath将 iotdevicek ey 替换为之前导入私钥和证书的对象标签。

      pkcs11:object=iotdevicekey;type=cert

   完成这些步骤后，Amazon IoT GreengrassCore 配置文件中的system属性应与以下示例类似。

   system:
     certificateFilePath: "pkcs11:object=iotdevicekey;type=cert"
     privateKeyPath: "pkcs11:object=iotdevicekey;type=private"
     rootCaPath: "/greengrass/v2/rootCA.pem"
     rootpath: "/greengrass/v2"
     thingName: "MyGreengrassCore"

5. 在更新的effectiveConfig.yaml文件中应用配置。Greengrass.jar使用--init-config参数运行以在中应用配置effectiveConfig.yaml。/greengrass/v2替换为 Greengrass 根文件夹的路径。

   sudo java -Droot="/greengrass/v2" \
     -jar /greengrass/v2/alts/current/distro/lib/Greengrass.jar \
     --start false \
     --init-config /greengrass/v2/config/effectiveConfig.yaml

6. 启动Amazon IoT Greengrass核心软件。如果您使用 systemd 将Amazon IoT Greengrass核心软件配置为系统服务，则可以运行以下命令来启动该软件。

   sudo systemctl start greengrass.service

   有关更多信息，请参阅 运行Amazon IoT Greengrass核心软件。

7. 查看 Amazon IoT Greengrass Core 软件日志，验证软件是否启动并连接到Amazon Web Services 云。C Amazon IoT Greengrass ore 软件使用私钥和证书连接到Amazon IoT和Amazon IoT Greengrass服务。

   sudo tail -f /greengrass/v2/logs/greengrass.log

   以下信息级别的日志消息表明 Amazon IoT Greengrass Core 软件已成功连接到Amazon IoT和Amazon IoT Greengrass服务。

   2021-12-06T22:47:53.702Z [INFO] (Thread-3) com.aws.greengrass.mqttclient.AwsIotMqttClient: Successfully connected to AWS IoT Core. {clientId=MyGreengrassCore5, sessionPresent=false}

8. （可选）在验证Amazon IoT Greengrass核心软件是否可以使用 HSM 中的私钥和证书后，从设备的文件系统中删除私钥和证书文件。运行以下命令，并将文件路径替换为私钥和证书文件的路径。

   sudo rm /greengrass/v2/privKey.key
   sudo rm /greengrass/v2/thingCert.crt