証明書の更新は、既にプロビジョニングされているデバイスが要求し、既存のデバイス ID の新しい運用証明書を受信するプロセスです。 更新は、有効期限が近づいている証明書または有効期限が切れている証明書を置き換えるために使用されます。 デバイスは引き続き同じ ID でプロビジョニングされます。操作証明書のみが更新されます。 各 IoT デバイスは、証明書の有効期限を追跡し、有効期限が切れる前に更新を開始する必要があります。 この記事では、更新するタイミング、利用可能な更新パス、有効期限を追跡する方法、および証明書の有効期限が切れた場合の処理について説明します。
Important
Azure Device Registry 統合とMicrosoftベースの X.509 証明書管理を使用したAzure IoT Hubは、public プレビューであり、運用環境のワークロードには推奨されません。 詳細については、FAQ: IoT Hub の新機能を参照してください。
デバイスを更新する必要がある場合
証明書管理は、Azure Device Registry (ADR) でポリシーを構成するときに設定した有効期間で運用証明書を発行します。 有効期間の範囲は 7 ~ 90 日です。
有効期間が短い証明書では、証明書が侵害された場合の公開時間が短縮されるため、セキュリティが向上します。 IoT Hubへの接続を維持するには、現在の運用証明書の有効期限が切れる前に、各デバイスが更新を開始する必要があります。 有効期限の前に更新を計画します。 証明書が有効期間の設定された割合 (80% など) に達したときに更新要求を送信するように、更新ロジックをデバイスのファームウェアまたはアプリケーションに追加します。
更新のしくみ
運用証明書は、次のいずれかの方法で更新できます。
DPS を使用して証明書の発行を繰り返す: デバイスは、新しい Device Provisioning Service (DPS) 登録を開始し、オンボード資格情報を使用して、新しい証明書署名要求 (CSR) を送信します。 このパスは、初期証明書の発行と同じフローに従います。 詳細については、「証明書の管理Azure IoT Hubでのデバイス証明書の発行を参照してください。
新しい CSR を IoT Hub : デバイスは MQTT 経由で CSR をIoT Hubに送信します。 IoT Hub更新要求を処理し、ADR と調整して新しい運用証明書を取得し、更新応答を発行します。 詳細については、「 デバイス証明書の更新 (運用証明書)」を参照してください。
どちらのパスでも、更新が必要なタイミングをデバイスが検出し、CSR を生成するための新しいキー ペアを生成し、ローカル証明書を置き換えて、新しい証明書に再接続する必要があります。
デバイスで証明書の有効期限を追跡する
各デバイスは、運用証明書の有効期限を追跡する必要があります。 証明書管理では、自動更新通知はデバイスに送信されません。 運用証明書には、 Valid from フィールドと Valid until フィールドが含まれます。 デバイスは、これらのフィールドを読み取って、証明書の有効期限と更新を開始するタイミングを決定できます。
デバイスのファームウェアまたはアプリケーション コードは、次の要件を満たす必要があります。
- プロビジョニングが成功するたびに、証明書から
Valid untilフィールドを読み取る。 - 有効期限が切れるまでの残り時間を計算します。
- DPS を使用して再プロビジョニングするか、新しい CSR をIoT Hubに直接送信することで、証明書の有効期限が切れる前に更新要求をトリガーします。
デバイス ツインを使用した証明書の有効期限の報告
パブリック プレビュー中、デバイスは デバイス ツインの報告されたプロパティ を使用して、現在の運用証明書の Valid from と Valid until の日付を報告する必要があります。 これらの報告されるプロパティは、有効期限が近い証明書を持つデバイスを表示するダッシュボードなど、フリート全体の可視性をサポートします。
報告されるプロパティ構造の例を次に示します。
{
"reported": {
"certificate": {
"validFrom": "2026-03-01T00:00:00Z",
"validUntil": "2026-03-31T00:00:00Z"
}
}
}
デバイスがこれらのプロパティを報告したら、IoT Hub クエリ言語 を使用して、更新が必要なフリート全体のデバイスを識別できます。
証明書の有効期限が切れるとどうなりますか
デバイスが有効期限が切れる前に証明書を更新しないと、IoT Hubで認証できなくなります。 IoT Hubは、期限切れの証明書が存在するデバイスからの接続を拒否します。
証明書の有効期限が切れたデバイスを回復するには、Device Provisioning Service を使用してデバイスを再プロビジョニングする必要があります。
デバイスにオンボード資格情報が残っていることを確認します。 この資格情報は、対称キーや TPM などの初期プロビジョニングに使用されます。
デバイスで、新しい CSR を含む DPS への新しい登録プロセスの呼び出しを実行します。
DPS は、同じ CSR ベースのプロビジョニング フローを使用して、ADR を通じて新しい運用証明書を発行します。
デバイスは、新しい証明書を使用してIoT Hubに接続します。
デバイスがオンボード資格情報を失い、その運用証明書の有効期限が切れた場合は、組織のデバイス管理ワークフローを通じて、新しいオンボード資格情報を使用してデバイスを再プロビジョニングする必要があります。
証明書失効との関係
証明書の更新は有効期限を示し、証明書の失効とは別です。 失効は、有効期限が切れる前にデバイス証明書を無効にするセキュリティ アクションです。 失効後、デバイスは DPS 再プロビジョニングと同じ CSR ベースの発行フローを通じて、再び新しい証明書を取得する必要があります。 失効の詳細については、「証明書の 失効とポリシー管理の概念」を参照してください。
失効せずに X.509 操作証明書を使用するデバイスのアクセスを削除するには、IoT Hubでデバイスを無効にすることができます。 詳細については、「デバイスの無効化と削除」を参照してください。
