Azure IoT Hubの証明書管理を使用すると、ライフサイクル全体を通じて X.509 証明書の発行、管理、取り消しを行うことができます。 この記事では、デバイス証明書の失効、ポリシーの失効、ポリシーの削除、資格情報リソースの削除に関連する主要な概念について説明します。 これらの操作は、証明書の有効期限が切れたり、デバイスが使用停止になったり、ビジネス要件が変更されたりしたときにセキュリティ体制を維持するのに役立つ、調整されたライフサイクル管理戦略の一部です。
Important
Azure Device Registry 統合とMicrosoftベースの X.509 証明書管理を使用したAzure IoT Hubは、public プレビューであり、運用環境のワークロードには推奨されません。 詳細については、FAQ: IoT Hub の新機能を参照してください。
証明書のライフサイクル操作間の関係
Azure Device Registry (ADR) の証明書ライフサイクルは、構造化された階層に従います。資格情報リソースは名前空間レベルでルート CA を確立し、ポリシーはデバイス証明書に署名する発行元 CA を定義し、各デバイスは独自の証明書を使用します。 リンクされた IoT ハブは、ADR がポリシーから同期する発行元 CA を信頼します。 失効操作と削除操作を使用すると、解決する必要がある問題に対して適切なレベルで対処できます。
- 問題が 1 つのデバイスに制限されている場合は、デバイス証明書を取り消します。
- ポリシーが発行したすべての証明書に問題が影響する場合は、ポリシーを取り消します。
- 将来の証明書発行用にその発行パスが不要になった場合は、ポリシーを削除します。
- 名前空間で証明書管理を使用する必要がなくなったら、資格情報リソースを削除します。
前提条件
証明書の失効とポリシー管理の操作を実行するには、Azure Device Registry Credentials Contributor ロールが Azure Device Registry 名前空間に割り当てられている必要があります。 このロールは、資格情報とポリシー (microsoft.deviceregistry/namespaces/credentials/* と microsoft.deviceregistry/namespaces/credentials/policies/*) を管理するためのフル アクセス権を付与します。
このロールが割り当てられない場合は、Azure管理者に連絡して、必要なアクセス許可を要求してください。
デバイス証明書の取り消し
Azureデバイスレジストリ(ADR)でデバイス証明書を取り消すと、そのデバイスに発行されたすべての証明書を取り消します。 このプロセスの一環として、デバイス証明書の一意識別子が発行元のCAの証明書取り消しリスト(CRL)に追加され、デバイスが以前に発行された証明書を使ってIoT Hubに認証できなくなります。
接続を復元するには、デバイスを再プロビジョニングし、新しい証明書を要求する必要があります。 このアクションは、デバイスが侵害された場合、使用停止された場合、または信頼されなくなった場合に推奨されます。 既定では、デバイスは IoT Hub で有効なままであり、新しい証明書が発行されたら再接続できます。 ただし、即時アクセスをブロックする必要がある場合は、証明書を失効させ、デバイスを無効にして、それ以上の接続を防ぐことができます。
Important
IoT Hubは、デバイス接続中に CA の証明書失効リスト (CRL) を評価しません。 その代わりに、発行時に証明書に埋め込まれるデバイスごとの一意識別子を使用して、失効が適用されます。 デバイスが証明書で接続すると、IoT Hubはこの識別子を抽出し、サービスに保存されているデバイスの現在の識別子と比較して証明書が取り消されたかどうかを判断します。 デバイスの証明書が失効すると、その一意の識別子がローテーションされます。 失効後に発行された証明書には新しい識別子が含まれますが、以前に発行された証明書は一致しなくなり、失効として扱われます。
デバイス証明書の取り消しの影響
デバイスの証明書を取り消すことは、ターゲット デバイスにのみ影響し、証明書を発行した他のデバイスやポリシーには影響しません。
Device 証明書のローテーション: Azureデバイス登録により、そのデバイスに発行されたすべてのデバイス証明書が無効になります。 新しい証明書を発行するには、デバイスを再プロビジョニングする必要があります。
IoT Hub信頼の更新: IoT hub内に格納されている発行元の CA 証明書は、ポリシーによって発行された新しい証明書を受け入れます。
デバイスは有効な状態を維持できます。既定では、デバイス ID は有効なままであるため、デバイスは新しい証明書を取得した後に再接続できます。
アクセスの取り消しと無効化: デバイスを取り消して無効にすると、デバイスを再度有効にするまでデバイスは接続できません。
ポリシーまたはその他のデバイスへの影響なし: 同じポリシーを使用する他のデバイスは、証明書を保持します。
ポリシーの取り消し
ポリシーを取り消すことにより、そのポリシーの発行元 CA がローテーションされ、ポリシーが発行したすべてのデバイス証明書に影響します。 CA キーの侵害の疑いなど、証明書パス全体に問題が適用される場合は、このアクションを使用します。
取り消しフローは、ポリシーの種類によって異なります。
Microsoft ルート CA 署名済みポリシー: 発行元 CA 証明書が名前空間レベルのルート CA の証明書失効リスト (CRL) に追加されます。 Azure Device Registry は、CA を発行する交換を生成し、新しい CA をリンクされた IoT ハブに自動的に同期します。
外部 CA 署名済みポリシー: 外部 CA で構成されているポリシーを取り消すことはできません。 失効が、その外部 CA の証明書失効リスト (CRL) または OCSP レスポンダーにも反映されるようにする必要があります。
ポリシーの取り消しの影響
ポリシーは発行元 CA として機能するため、失効すると、発行された証明書を持つすべてのデバイスに影響します。
CA の発行ローテーション: ポリシーは現在の発行元 CA の使用を停止し、代替発行元 CA に移動します。
発行されたすべてのデバイス証明書が影響を受けます。以前の発行元 CA の証明書を使用するデバイスは、通常の認証を再開する前に、新しいデバイス証明書を要求して受信する必要があります。
IoT Hub信頼の変更: リンクされた IoT ハブは、以前の発行元 CA の信頼を停止し、交換 CA を信頼する必要があります。
ADR で標準ポリシー フローが完了する: サービス管理ポリシーの場合、ADR は代替 CA をリンクされたハブに自動的に同期します。
BYOR フローには顧客のアクションが必要です。BYOR ポリシーの場合は、新しい CSR に署名し、ポリシーをアクティブ化して、資格情報の同期を実行する必要があります。
その他のポリシーは別々のままです。展開で複数のポリシーが使用されている場合、1 つのポリシーを取り消しても、他のポリシーが発行した証明書には影響しません。
セキュリティ封じ込め: このアクションは、発行元の CA またはその秘密キーが侵害された疑いがある場合、またはそのポリシーの完全な証明書更新が必要な場合に役立ちます。
Microsoft マネージド ルート CA: MicrosoftのAzure PKIインフラストラクチャは失効を処理します。 Microsoftは失効リストを維持および管理します。
外部ルート CA: 外部ルート CA がポリシーに署名する場合は、その失効が、その外部 CA の証明書失効リスト (CRL) または OCSP レスポンダーにも反映されるようにする必要があります。
ポリシーを削除する
ポリシーを削除すると、将来の証明書発行用の発行元 CA 構成が削除されます。 このアクションは、最終的なクリーンアップ手順です。 失効とは異なり、削除により、発行元 CA をローテーションするのではなく、ポリシー構成が削除されます。 ポリシーを削除するのは、今後のデバイス証明書操作にポリシーが不要になったことを確認した後だけです。 ポリシーを削除するには、Azure ポータルでポリシーを見つけて、Delete を選択します。
ポリシーを削除すると、新しいデバイス証明書を発行できなくなりますが、IoT Hubは有効なデバイス証明書を引き続き受け入れます。 そのポリシーに基づく既存のデバイス証明書をすべて使用停止にする場合は、IoT ハブから CA 証明書を削除する必要があります。
Important
外部 CA を使用して構成されているポリシーの場合は、ポリシーを削除する前に、各デバイス証明書を取り消す 必要があります 。 各デバイス証明書を取り消すことができない場合は、資格情報リソースを削除し、新しいポリシーを作成する必要があります。
ポリシーを削除した場合の影響
ポリシーを削除すると、ポリシー構成が完全に削除されます。 失効とは異なり、削除によってポリシーが無効としてマークされるだけではありません。
- ポリシーは完全に削除されます。ポリシーとその構成は ADR 名前空間から削除されます。 この操作を元に戻すことはできません。
- 依存リソース: Device Provisioning Service (DPS) でこのポリシーにリンクされているデバイス登録では、新しい証明書を発行できません。 削除されたポリシーを参照する DPS 登録は、別のポリシーを使用するように更新するか、無効にする必要があります。
- 監査情報: ポリシーが削除されている間は、コンプライアンス要件に基づいて、ポリシーに関連する履歴レコードと監査ログを保持できます。
- アクティブな証明書への影響なし: このポリシーによって発行された証明書がまだ有効な場合、ポリシーを削除してもすぐには無効になりません。 ただし、このポリシーを使用した新しい証明書の発行はできません。 そのポリシーに基づく既存のデバイス証明書をすべて使用停止にするには、IoT ハブから CA 証明書を削除する必要があります。
資格情報リソースの削除
資格情報リソースを削除すると、その証明書チェーンの名前空間レベルの信頼アンカーが削除されます。 このアクションにより、ポリシーが依存する資格情報パスが廃止されます。 完全な証明書チェーンを廃止したり、古い証明書インフラストラクチャを削除したりする場合など、ダウンストリーム ポリシーやデバイスで必要とされていないことが確実な場合にのみ、資格情報リソースを削除します。 資格情報リソースを削除するには、Azure Device Registry に移動し、名前空間を選択し、Credential ポリシーで資格情報リソースを選択し、Delete を選択します。
資格情報リソースの削除の影響
資格情報を削除すると、ADR 名前空間の証明書階層全体の信頼のルートが削除されます。
- 資格情報リソースは完全に削除されます。資格情報リソースとそれに関連付けられているメタデータは、ADR 名前空間から削除されます。
- 連鎖削除: ポリシーがまだこの資格情報に関連付けられている場合は、資格情報を削除する前に、まずそれらのポリシーを取り消すか削除する必要があります。
- 新しい証明書の発行なし: この資格情報によって署名されたポリシーを使用して新しい証明書を発行することはできません。
- 元に戻せない操作: 資格情報の削除を元に戻すことはできません。 このチェーンで証明書管理をもう一度使用するには、新しい資格情報とポリシーを作成する必要があります。
証明書ライフサイクルのベスト プラクティス
証明書の取り消しとポリシーの削除は、取り消しが困難または不可能な影響の大きい操作です。 明確に定義されたライフサイクル戦略は、計画外のデバイスの停止を回避し、セキュリティの露出を減らし、インシデントが発生したときに迅速に対応するのに役立ちます。 次の方法は、少数のデバイスを管理している場合でも、数千台の端末を管理している場合でも適用されます。
- 証明書の有効期限を監視する: 証明書が有効期限に近づいているタイミングをアクティブに追跡し、サービスの中断を回避するために更新スケジュールを計画します。
- 設計で許可されている場合は、デバイス コーホートに個別のポリシーを使用します。ポリシーをモデル、製造元、サイト、または環境ごとに分離して、ポリシーの取り消しの影響を制限します。 現在のプレビューでは、各資格情報が 1 つのポリシーをサポートしているため、コーホートを別々の資格情報にマップする必要がある場合があります。
- 監査レコード: コンプライアンスとセキュリティの調査のために、Azure監査ログを使用して、すべての証明書失効、ポリシー削除、および資格情報の削除操作を追跡します。
関連するコンテンツ
- 証明書の取り消しとポリシーの削除 (プレビュー)
- 証明書管理の主な概念
- 証明書管理 (プレビュー) とは
ADR と証明書の管理を IoT Hub - X.509 CA 証明書を使用してデバイスを認証する
IoT Hub の Azure ロールベースのアクセス制御 (RBAC)
