Los dispositivos con licencia inician sesión con un certificado de cliente X.509 en lugar de una contraseña. Hermetry gestiona su propia autoridad de certificación (CA) para los dispositivos. Esta página explica lo que ve y hace como cliente. El diseño de la CA se describe en La autoridad de certificación de dispositivos.
Cómo funciona
- El dispositivo genera su propio par de claves. La clave privada nunca sale del dispositivo.
- El dispositivo envía una solicitud de firma de certificado (CSR) a Hermetry a través de
v1/csry recibe su certificado env1/cert. - El nombre común (CN) del certificado es el número de serie del dispositivo.
- En cada inicio de sesión, Hermetry comprueba que el certificado encadena con su CA de dispositivos, que no está revocado, que no ha caducado y que CN = número de serie = ID de cliente.
Las claves raíz de la CA se mantienen fuera de línea. Las claves de firma en línea están protegidas y custodiadas por un proceso aislado. Hermetry nunca muestra ni exporta una clave privada de la CA.
Vigencia del certificado
| Elemento | Valor |
|---|---|
| Vigencia | 365 días por defecto (de 30 a 825, configurable en el perfil del dispositivo) |
| Renovación | Comienza como máximo 30 días antes de la caducidad. La nube también puede pedir a un dispositivo que se renueve con el comando cert.renew. |
| Tipo de clave | ECDSA P-256 para los dispositivos con licencia actuales |
Un dispositivo cuyo certificado ha caducado, ha sido revocado o se ha perdido pasa por recuperación: se aprovisiona de nuevo y solicita un certificado nuevo. Un dispositivo que solicita un certificado nuevo mientras el actual sigue vigente necesita su aprobación: recibirá un aviso «Un dispositivo solicita un certificado nuevo» y debe aprobarlo en la página del dispositivo si restableció o reparó el dispositivo.
Dónde ve los certificados
Necesita el permiso para ver certificados (los administradores lo tienen por defecto).
- Dispositivos > ⋯ > Certificados muestra los certificados de dispositivos de su organización con su estado: Activo, Sustituido, Revocado o Caducado, y los días que quedan.
- La pestaña Certificado de un dispositivo MQTT muestra su certificado, cómo se emitió (Primer certificado (fábrica), Renovación, Recuperación, Clave generada por el servidor, Subido, Registro) y su validez.
- Configuración de certificados de dispositivo define Aviso de caducidad (días) (de 30 a 180, 30 por defecto): los administradores son avisados de los certificados que caducan en esos días y que no se han renovado.
Usar un certificado como credencial de un dispositivo
Los dispositivos con licencia que reclama reciben automáticamente su credencial de certificado. Para cambiar otro dispositivo a su certificado, use la API: PUT …/api/iot/devices/{deviceId}/credentials con {"type": "X509_CERTIFICATE", "certificateId": "…"}. El certificado debe estar activo, pertenecer a su organización y tener el número de serie del dispositivo como CN. Consulte Credenciales de dispositivo.
Revocar un certificado
- Abra el certificado.
- Seleccione Revocar certificado e indique el motivo: Compromiso de la clave, Sustituido, Dispositivo retirado o Sin especificar.
«El dispositivo se desconecta de inmediato y no puede volver a conectarse con este certificado. Esta acción no se puede deshacer.» Se rechaza en su próximo inicio de sesión (CONNACK 5). Las revocaciones se publican en la lista de revocación de la CA.
Advertencia
El dispositivo necesita un certificado nuevo antes de poder volver a conectarse.
Certificados de otras autoridades
No está disponible subir su propia CA para dispositivos X.509 de terceros. Los dispositivos de terceros usan tokens de acceso o MQTT básico.