Les appareils sous licence se connectent avec un certificat client X.509 au lieu d’un mot de passe. Hermetry exploite sa propre autorité de certification (CA) pour les appareils. Cette page explique ce que vous voyez et ce que vous faites en tant que client. La conception de la CA est décrite dans L’autorité de certification des appareils.
Fonctionnement
- L’appareil génère sa propre paire de clés. La clé privée ne quitte jamais l’appareil.
- L’appareil envoie une demande de signature de certificat (CSR) à Hermetry via
v1/csret reçoit son certificat surv1/cert. - Le nom commun (CN) du certificat correspond au numéro de série de l’appareil.
- À chaque connexion, Hermetry vérifie que le certificat remonte à son CA des appareils, qu’il n’est pas révoqué, qu’il n’est pas expiré, et que CN = numéro de série = identifiant client.
Les clés racines de la CA sont conservées hors ligne. Les clés de signature en ligne sont scellées et détenues par un processus isolé unique. Hermetry n’affiche ni n’exporte jamais une clé privée de CA.
Durée de vie des certificats
| Élément | Valeur |
|---|---|
| Durée de vie | 365 jours par défaut (de 30 à 825, défini dans le profil de l’appareil) |
| Renouvellement | Commence au plus tard 30 jours avant l’expiration. Le cloud peut aussi demander à un appareil de se renouveler avec la commande cert.renew. |
| Type de clé | ECDSA P-256 pour les appareils sous licence actuels |
Un appareil dont le certificat a expiré, a été révoqué ou a été perdu passe par la récupération : il se provisionne à nouveau et demande un nouveau certificat. Un appareil qui demande un nouveau certificat alors que le certificat actuel est encore valide nécessite votre approbation : vous recevez une notification « Un appareil demande un nouveau certificat » et l’approuvez sur la page de l’appareil si vous avez réinitialisé ou réparé l’appareil.
Où voir les certificats
Vous devez disposer de l’autorisation de consulter les certificats (administrateurs par défaut).
- Appareils > ⋯ > Certificats affiche les certificats des appareils de votre organisation avec leur statut : Actif, Remplacé, Révoqué ou Expiré, ainsi que le nombre de jours restants.
- L’onglet Certificat d’un appareil MQTT affiche son certificat, son mode d’émission (Premier certificat (usine), Renouvellement, Récupération, Clé générée par le serveur, Importé, Enrôlement) et sa validité.
- Paramètres des certificats d’appareils définissent Avertissement d’expiration (jours) (de 30 à 180, 30 par défaut) : les administrateurs sont informés des certificats qui expirent dans ce nombre de jours et n’ont pas été renouvelés.
Utiliser un certificat comme identifiant d’un appareil
Les appareils sous licence que vous revendiquez obtiennent automatiquement leur identifiant de certificat. Pour basculer un autre appareil sur son certificat, utilisez l’API : PUT …/api/iot/devices/{deviceId}/credentials avec {"type": "X509_CERTIFICATE", "certificateId": "…"}. Le certificat doit être actif, appartenir à votre organisation et avoir le numéro de série de l’appareil comme CN. Voir Identifiants des appareils.
Révoquer un certificat
- Ouvrez le certificat.
- Sélectionnez Révoquer le certificat et indiquez le motif : Compromission de clé, Remplacé, Appareil mis hors service ou Non précisé.
« L’appareil est immédiatement déconnecté et ne peut plus se connecter avec ce certificat. Cette action est irréversible. » Il est refusé à sa prochaine connexion (CONNACK 5). Les révocations sont publiées dans la liste de révocation de la CA.
Avertissement
L’appareil a besoin d’un nouveau certificat avant de pouvoir se reconnecter.
Certificats provenant d’autres autorités
Importer votre propre CA pour les appareils X.509 tiers n’est pas disponible. Les appareils tiers utilisent des jetons d’accès ou MQTT basique.