设备用私有 CA 签发的 X.509 证书接入 IoT 物联网平台——实践类

作者：阿里云AIoT

2023-02-28
浙江
本文字数：2666 字
阅读完需：约 9 分钟

1.创建产品和注册设备

1.1 创建产品(用私有 CA 认证)

登录 IoT 物联网平台控制台。
在左侧导航栏，选择设备管理 > 产品。
在产品管理页，单击创建产品。
选择直连设备，认证方式选择 X.509 证书, 使用私有 CA 证书勾选是。

产品创建完成后，如下图：

注册设备基于已创建的空气净化器产品，添加设备，输入设备 deviceName。

注册完成后，设备处于未激活状态，其中 X.509 证书为空。

制作设备证书

我们使用已经在 IoT 物联网平台注册的私有 CA 证书，来签发设备证书。

openssl 的操作指令如下，其中 CN 可以填写 deviceName。

# 生成pem的私有keyopenssl genrsa -out device-1.key 2048# 生成设备证书CSRopenssl req -new -key device-1.key -out device-1.csr -newkey -subj \"/C=CN/ST=Shanghai/L=Shanghai/O=IoT/OU=iot/CN=dn3023842"# -set_serial 指定序列号
# 用私有CA签发设备证书CRTopenssl x509 -req -in device-1.csr -CA myIoTCARoot.crt -CAkey myIoTCARoot.key -CAcreateserial -out device-1.crt -days 3650 -sha512# 查看设备证书SNopenssl x509 -noout -text -in device-1.crt

复制代码

证书生成后，我们可以查看设备证书的 SN 码。

绑定设备证书

绑定设备与设备证书

IoT 物联网平台需要用户上传设备 ProductKey,DeviceName 和设备证书 SN 的映射关系的 csv 文件，内容格式如下：

ProductKey,DeviceName,CertSNa15GiUoOzAL,dn032836,dd3dc180a02768d7

复制代码

IoT 物联网平台控制台证书详情页面，上传 CSV 文件，完成绑定。

绑定成功后，我们可以点击查看绑定结果：

设备激活

我们以 Java 设备为例，介绍设备以私有证书接入过程。

Java 原生代码只能使用 PKCS#8 格式，我们需要用 OpenSSL 来进行转换，命令如下：

# 转换格式PKCS#8openssl pkcs8 -topk8 -inform PEM -in device-1.key -out device-1_pkcs8.key -nocrypt

复制代码

使用 TLS 方式（securemode=2）将设备接入物联网平台，需使用物联网平台根证书。

请下载根证书，然后将根证书放置到 resource 目录下。

使用 iot_root.crt、设备证书、设备证书私钥来构造 SSLSocketFactory 实例。

protected SSLSocketFactory createSSLSocket() throws Exception {
    // 物联网平台根证书，可以从官网文档中下载https://help.aliyun.com/document_detail/73742.html    // 设备X.509证书，可以从控制台设备信息中下载。    // 用来验证IoT平台的CA证书    InputStream in = IotMqttClientWithAuthByX509.class.getResourceAsStream("/iot_root.crt");    CertificateFactory cf = CertificateFactory.getInstance("X.509");    Certificate ca = cf.generateCertificate(in);    in.close();    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());    keyStore.load(null, null);    keyStore.setCertificateEntry("ca", ca);    TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());    tmf.init(keyStore);
    // 传入设备证书、证书证书私钥    InputStream certIn = IotMqttClientWithAuthByX509.class.getResourceAsStream(certPath);    CertificateFactory certCf = CertificateFactory.getInstance("X.509");    Certificate certCa = certCf.generateCertificate(certIn);    certIn.close();    KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());    ks.load(null, null);    ks.setCertificateEntry("certificate", certCa);        PrivateKey privateKey = getPrivateKey(privateKeyPath);    ks.setKeyEntry("private-key", privateKey, privateKeyPassword.toCharArray(), new Certificate[] { certCa });    KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());    kmf.init(ks, privateKeyPassword.toCharArray());        // 构造socketFactory    SSLContext context = SSLContext.getInstance("TLSV1.2");    context.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);    SSLSocketFactory socketFactory = context.getSocketFactory();    return socketFactory;}

复制代码

设备发起 MQTT 的 CONNECT，此时 username 和 password 无需设置

// 接入域名String broker = "ssl://x509.itls." + regionId + ".aliyuncs.com:1883";// MQTT的clientIdString mqttClientId = System.currentTimeMillis()+"|securemode=2|";MemoryPersistence persistence = new MemoryPersistence();mqttClient = new MqttClient(serverURL, mqttClientId, persistence);MqttConnectOptions connOpts = new MqttConnectOptions();connOpts.setMqttVersion(4);// MQTT 3.1.1// 使用TLS，需要下载根证书root.crt，mqttClientId中设置securemode=2。connOpts.setSocketFactory(createSSLSocket()); connOpts.setCleanSession(false); connOpts.setAutomaticReconnect(true); connOpts.setKeepAliveInterval(300);// 设置connect回调mqttClient.setCallback(new MqttCallback() {
@Overridepublic void messageArrived(String topic, MqttMessage message) throws Exception {

    @Override    public void messageArrived(String topic, MqttMessage message) throws Exception {
        // 只处理X.509认证返回信息        if ("/ext/auth/identity/response".equals(topic)) {            JSONObject json = JSONObject.parseObject(new String(message.getPayload(), StandardCharsets.UTF_8));            // 获取到设备的productKey和deviceName            String productKey = json.getString("productKey");            String deviceName = json.getString("deviceName");        } else {            // 处理其他下行消息，强烈建议另起线程处理，以免回调堵塞。        }    }
    @Override    public void deliveryComplete(IMqttDeliveryToken token) {    }
    @Override    public void connectionLost(Throwable cause) {    }});
mqttClient.connect(connOpts);