Lisanslı cihazlar parola yerine bir X.509 istemci sertifikasıyla oturum açar. Hermetry, cihazlar için kendi sertifika yetkilisini (CA) işletir. Bu sayfa, müşteri olarak neyi gördüğünüzü ve neyi yaptığınızı açıklar. CA’nın tasarımı The device certificate authority sayfasında anlatılmaktadır.
Nasıl çalışır
- Cihaz kendi anahtar çiftini üretir. Özel anahtar hiçbir zaman cihazdan ayrılmaz.
- Cihaz,
v1/csrüzerinden Hermetry’ye bir sertifika imzalama isteği (CSR) gönderir ve sertifikasınıv1/certüzerinden alır. - Sertifikanın ortak adı (CN), cihaz seri numarasıdır.
- Her oturum açmada Hermetry; sertifikanın cihaz CA’sına zincirlendiğini, iptal edilmediğini, süresinin dolmadığını ve CN = seri numarası = istemci kimliği olduğunu denetler.
CA’nın kök anahtarları çevrimdışı tutulur. Çevrimiçi imzalama anahtarları mühürlenir ve yalıtılmış tek bir süreçte tutulur. Hermetry hiçbir zaman bir CA özel anahtarını göstermez veya dışa aktarmaz.
Sertifika ömrü
| Öğe | Değer |
|---|---|
| Ömür | Varsayılan olarak 365 gün (30 ile 825 arası, cihazın profilinde ayarlanır) |
| Yenileme | En geç sona ermeden 30 gün önce başlar. Bulut ayrıca cert.renew komutuyla bir cihazdan yenilemesini isteyebilir. |
| Anahtar türü | Mevcut lisanslı cihazlar için ECDSA P-256 |
Sertifikasının süresi dolmuş, iptal edilmiş veya kaybedilmiş bir cihaz kurtarma sürecinden geçer: yeniden sağlanır ve yeni bir sertifika ister. Mevcut sertifikası hâlâ geçerliyken yeni sertifika isteyen bir cihaz onayınızı gerektirir: “Bir cihaz yeni bir sertifika istiyor” bildirimini alırsınız ve cihazı sıfırladığınız veya onardığınız durumda cihaz sayfasından onaylarsınız.
Sertifikaları nerede görürsünüz
Sertifikaları görüntüleme iznine ihtiyacınız vardır (varsayılan olarak yöneticiler).
- Cihazlar > ⋯ > Sertifikalar, kuruluşunuzun cihaz sertifikalarını durumlarıyla birlikte listeler: Etkin, Yerini bıraktı, İptal edildi veya Süresi doldu ve kalan gün sayısı.
- Bir MQTT cihazının Sertifika sekmesi, sertifikasını, nasıl verildiğini (İlk sertifika (fabrika), Yenileme, Kurtarma, Sunucuda üretilen anahtar, Yüklenen, Kayıt) ve geçerlilik süresini gösterir.
- Cihaz Sertifika Ayarları, Süre dolum uyarısı (gün) değerini (30 ile 180 arası, varsayılan 30) ayarlar: yöneticilere, bu gün sayısı içinde süresi dolacak ve yenilenmemiş sertifikalar hakkında bilgi verilir.
Bir sertifikayı cihazın kimlik bilgisi olarak kullanma
Sahiplendiğiniz lisanslı cihazlar sertifika kimlik bilgilerini otomatik olarak alır. Başka bir cihazı sertifikasına geçirmek için API’yi kullanın: PUT …/api/iot/devices/{deviceId}/credentials ile {"type": "X509_CERTIFICATE", "certificateId": "…"}. Sertifika etkin olmalı, kuruluşunuza ait olmalı ve CN’si cihaz seri numarası olmalıdır. Bkz. Device credentials.
Bir sertifikayı iptal etme
- Sertifikayı açın.
- Sertifikayı iptal et seçeneğini seçin ve nedenini belirtin: Anahtar ele geçirildi, Yerini bıraktı, Cihaz kullanımdan kaldırıldı veya Belirtilmedi.
“Cihazın bağlantısı hemen kesilir ve bu sertifikayla bir daha bağlanamaz. Bu işlem geri alınamaz.” Cihaz bir sonraki oturum açmasında reddedilir (CONNACK 5). İptaller, CA’nın iptal listesinde yayımlanır.
Uyarı
Cihazın yeniden bağlanabilmesi için yeni bir sertifikaya ihtiyacı vardır.
Diğer yetkililerden gelen sertifikalar
Üçüncü taraf X.509 cihazları için kendi CA’nızı yüklemek kullanılamaz. Üçüncü taraf cihazlar erişim belirteçleri veya MQTT basic kullanır.