Aktivieren Sie sichere Einstellungen in Azure IoT Operationen

Die sicheren Einstellungen für Azure IoT Einsatz umfassen das Einrichten der geheimen Verwaltung und eine vom Benutzer zugewiesene verwaltete Identität für Cloudverbindungen, z. B. einen OPC UA-Server oder Datenflussendpunkte.

Dieser Artikel enthält Anweisungen zum Aktivieren sicherer Einstellungen, wenn dies nicht bereits während der Erstbereitstellung erfolgt ist.

Voraussetzungen

Eine Azure IoT Einsatz-Instanz , die mit Testeinstellungen bereitgestellt wird.
Azure CLI Version 2.62.0 oder höher auf Ihrem Entwicklungscomputer installiert. Verwenden Sie az --version, um Ihre Version zu überprüfen. Bei Bedarf können Sie sie mithilfe von az upgrade aktualisieren. Weitere Informationen finden Sie unter How to install the Azure CLI.
Die aktuelle Version der connectedk8s-Erweiterung für die Azure CLI. Verwenden Sie den folgenden Befehl, um die Erweiterung hinzuzufügen oder auf die neueste Version zu aktualisieren:
```
az extension add --upgrade --name connectedk8s
```
Die Azure IoT Einsatz Erweiterung für Azure CLI. Verwenden Sie den folgenden Befehl, um die Erweiterung hinzuzufügen oder auf die neueste Version zu aktualisieren:
```
az extension add --upgrade --name azure-iot-ops
```

Aktivieren des Clusters für sichere Einstellungen

Um die Synchronisierung von Geheimnissen für Ihre Azure IoT Einsatz-Instanz zu aktivieren, müssen die Features OIDC issuer und workload identity federation auf Ihrem Cluster aktiviert sein. Diese Konfiguration ist für die Azure Key Vault Secret Store-Erweiterung erforderlich, um die geheimen Schlüssel aus einem Azure Key Vault zu synchronisieren und sie als Kubernetes-Geheimnisse am Edge zu speichern.

Für Cluster des Azure Kubernetes Service (AKS) können der OIDC-Aussteller und die Workload-Identitätsfunktionen nur während der Clustererstellung aktiviert werden. Für Cluster in AKS Edge Essentials aktiviert das automatisierte Skript diese Features standardmäßig. Führen Sie für AKS-Cluster auf Azure Local die Schritte zum Bereitstellen und Konfigurieren der Workload-Identität in einem von Azure Arc aktivierten AKS-Cluster aus, um einen neuen Cluster zu erstellen, falls Sie keinen mit den erforderlichen Funktionen haben.

Bei k3s-Clustern in Kubernetes können Sie einen vorhandenen Cluster aktualisieren. Führen Sie die folgenden Schritte aus, um diese Features zu aktivieren und zu konfigurieren:

Aktualisieren Sie den Cluster, um OIDC Issuer und Workload-Identität zu aktivieren.
```
az connectedk8s update -n <CLUSTER_NAME> -g <RESOURCE_GROUP> --enable-oidc-issuer --enable-workload-identity
```
Wenn Sie die Features für OIDC-Aussteller und Workloadidentität bei der Clustererstellung aktiviert haben, müssen Sie den vorherigen Befehl nicht erneut ausführen. Verwenden Sie den folgenden Befehl, um den Status der OIDC-Zertifikatstelle und der Workload-Identitätsfunktionen für Ihren Cluster zu überprüfen.
```
az connectedk8s show -g <RESOURCE_GROUP> -n <CLUSTER_NAME> --query "{ClusterName:name, OIDCIssuerEnabled:oidcIssuerProfile.enabled, WorkloadIdentityEnabled:securityProfile.workloadIdentity.enabled}"
```
Rufen Sie die Aussteller-URL des Clusters ab.
```
az connectedk8s show -g <RESOURCE_GROUP> -n <CLUSTER_NAME> --query oidcIssuerProfile.issuerUrl --output tsv
```
Notieren Sie sich die Ausgabe dieses Befehls, um sie in den nächsten Schritten zu verwenden.
Erstellen Sie die k3s-Konfigurationsdatei auf dem Computer, auf dem Sie Ihren Kubernetes-Cluster bereitgestellt haben:
```
sudo nano /etc/rancher/k3s/config.yaml
```
Fügen Sie der Datei config.yaml den folgenden Inhalt hinzu, und ersetzen Sie den Platzhalter <SERVICE_ACCOUNT_ISSUER>durch die Aussteller-URL Ihres Clusters, die Sie zuvor notiert haben:
```
kube-apiserver-arg:
- service-account-issuer=<SERVICE_ACCOUNT_ISSUER>
- service-account-max-token-expiration=24h
```
Speichern Sie die Datei, und beenden Sie den Nano-Editor.
Starten Sie den k3s-Dienst neu:
```
sudo systemctl restart k3s
```

Einrichtung von Geheimnisverwaltung

Die Geheimnisseverwaltung für Azure IoT Einsatz verwendet die Secret Store-Erweiterung, um die Geheimnisse aus einem Azure Key Vault zu synchronisieren und sie als Kubernetes-Geheimnisse am Edge zu speichern. Die Secret Store-Erweiterung erfordert eine vom Benutzer zugewiesene verwaltete Identität mit Zugriff auf den Azure Key Vault, in dem geheime Schlüssel gespeichert werden. Weitere Informationen finden Sie unter Was sind verwaltete Identitäten für Azure-Ressourcen?

So richten Sie die Geheimnisverwaltung ein:

Erstellen Sie einen Azure Key Vault , der zum Speichern von geheimen Schlüsseln verwendet wird, und erteilen Sie Ihrem Benutzerkonto Berechtigungen zum Verwalten von geheimen Schlüsseln mit der Key Vault Secrets Officer Rolle.
Erstellen Sie eine vom Benutzer zugewiesene verwaltete Identität für die Secret Store-Erweiterung , die für den Zugriff auf den Schlüsseltresor verwendet werden soll.

Verwenden Sie den Befehl az iot ops secretsync enable, um die Azure IoT Einsatz Instanz für die geheime Synchronisierung einzurichten. Dieser Befehl:

Erstellt eine zusammengefasste Identitätsanmeldeinformation unter Verwendung der vom Benutzer zugewiesenen verwalteten Identität.
Fügt der vom Benutzer zugewiesenen verwalteten Identität eine Rollenzuweisung für den Zugriff auf die Azure Key Vault hinzu.
Fügt eine mindestens geheime Anbieterklasse hinzu, die der Azure IoT Einsatz Instanz zugeordnet ist.

Bash
PowerShell

# Variable block
AIO_INSTANCE_NAME="<AIO_INSTANCE_NAME>"
RESOURCE_GROUP="<RESOURCE_GROUP>"
USER_ASSIGNED_MI_NAME="<USER_ASSIGNED_MI_NAME>"
KEYVAULT_NAME="<KEYVAULT_NAME>"

#Get the resource ID of the user-assigned managed identity
USER_ASSIGNED_MI_RESOURCE_ID=$(az identity show --name $USER_ASSIGNED_MI_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)

#Get the resource ID of the key vault
KEYVAULT_RESOURCE_ID=$(az keyvault show --name $KEYVAULT_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)

#Enable secret synchronization
az iot ops secretsync enable --instance $AIO_INSTANCE_NAME \
                             --resource-group $RESOURCE_GROUP \
                             --mi-user-assigned $USER_ASSIGNED_MI_RESOURCE_ID \
                             --kv-resource-id $KEYVAULT_RESOURCE_ID

# Variable block
$AIO_INSTANCE_NAME="<AIO_INSTANCE_NAME>"
$RESOURCE_GROUP="<RESOURCE_GROUP>"
$USER_ASSIGNED_MI_NAME="<USER_ASSIGNED_MI_NAME>"
$KEYVAULT_NAME="<KEYVAULT_NAME>"

# Get the resource ID of the user-assigned managed identity
$USER_ASSIGNED_MI_RESOURCE_ID=$(az identity show --name $USER_ASSIGNED_MI_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)

# Get the resource ID of the key vault
$KEYVAULT_RESOURCE_ID=$(az keyvault show --name $KEYVAULT_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)

# Enable secret synchronization
az iot ops secretsync enable --instance $AIO_INSTANCE_NAME `
                             --resource-group $RESOURCE_GROUP `
                             --mi-user-assigned $USER_ASSIGNED_MI_RESOURCE_ID `
                             --kv-resource-id $KEYVAULT_RESOURCE_ID

Nachdem die Einrichtung der geheimen Synchronisierung abgeschlossen ist, können Sie sich auf Manage geheime Schlüssel für Ihre Azure IoT Einsatz Bereitstellung beziehen, um zu erfahren, wie Geheime schlüssel mit Azure IoT Einsatz verwendet werden.

Einrichten einer benutzerseitig zugewiesenen verwalteten Identität für Cloudverbindungen

Einige Azure IoT Einsatz Komponenten, z. B. Datenflussendpunkte, verwenden eine vom Benutzer zugewiesene verwaltete Identität für Cloudverbindungen. Wir empfehlen, dass Sie eine andere Identität verwenden als die, die Sie zum Einrichten der Geheimnisverwaltung verwendet haben.

Erstellen Sie eine benutzerseitig zugewiesene verwaltete Identität, die für Cloudverbindungen verwendet wird.

Note

Sie müssen die Identitätsberechtigung für die Cloudressource erteilen, für die Sie die verwaltete Identität verwenden möchten.

Verwenden Sie den Befehl az iot ops identity assign, um die Identität der Azure IoT Einsatz Instanz zuzuweisen. Mit diesem Befehl werden auch federierte Identitätsberechtigungen mithilfe des OIDC-Anbieters des angegebenen verbundenen Clusters und des Azure IoT Einsatz-Dienstkontos erstellt.

Important

Die Standardversion dieses Befehls weist eine Identität für Datenflüsse zu. Wenn Sie beabsichtigen, Datenflussdiagramme zu verwenden, schließen Sie den --usage Parameter mit dem Wert wasm-graphein.

Bash
PowerShell

# Variable block
AIO_INSTANCE_NAME="<AIO_INSTANCE_NAME>"
RESOURCE_GROUP="<RESOURCE_GROUP>"
USER_ASSIGNED_MI_NAME="<USER_ASSIGNED_MI_NAME FOR CLOUD CONNECTIONS>"

#Get the resource ID of the user-assigned managed identity
USER_ASSIGNED_MI_RESOURCE_ID=$(az identity show --name $USER_ASSIGNED_MI_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)

#Assign the identity to the Azure IoT Operations instance
az iot ops identity assign --name $AIO_INSTANCE_NAME \
                           --resource-group $RESOURCE_GROUP \
                           --mi-user-assigned $USER_ASSIGNED_MI_RESOURCE_ID

# Variable block
$AIO_INSTANCE_NAME="<AIO_INSTANCE_NAME>"
$RESOURCE_GROUP="<RESOURCE_GROUP>"
$USER_ASSIGNED_MI_NAME="<USER_ASSIGNED_MI_NAME FOR CLOUD CONNECTIONS>"

# Get the resource ID of the user-assigned managed identity
$USER_ASSIGNED_MI_RESOURCE_ID=$(az identity show --name $USER_ASSIGNED_MI_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)


# Assign the identity to the Azure IoT Operations instance
az iot ops identity assign --name $AIO_INSTANCE_NAME `
                           --resource-group $RESOURCE_GROUP `
                           --mi-user-assigned $USER_ASSIGNED_MI_RESOURCE_ID

Starten Sie die Schema-Registry-Pods neu, um die neue Identität zu übernehmen.

kubectl delete pods adr-schema-registry-0 adr-schema-registry-1 -n azure-iot-operations

Sie können nun diese verwaltete Identität in Datenflussendpunkten für Cloudverbindungen verwenden.

Blockieren des Podzugriffs auf den Azure Instanzmetadatendienst

Wenn Sie Azure IoT Einsatz mit sicheren Einstellungen auf AKS bereitstellen, empfiehlt Microsoft das Blockieren des Podzugriffs auf den Azure Instanzmetadatendienst-Endpunkt. Informationen zum Aktivieren dieser Funktion finden Sie unter Blockieren des Pod-Zugriffs auf den Endpunkt des Azure Instanzmetadatendienstes (IMDS).

Feedback

War diese Seite hilfreich?

Last updated on 2026-06-15