Escenario: Crear una instancia gemela digital que utilice un certificado mTLS

1. Vaya a Identity & Security y, a continuación, seleccione Vault.
2. Seleccione el compartimento que desea utilizar para los recursos IoT.
3. Para crear una clave, seleccione Crear clave y siga las instrucciones de Creación de una clave de cifrado maestra.
4. O bien, en la lista de Valores por defecto, seleccione el menú Acciones junto al almacén que desea utilizar y, a continuación, seleccione Ver detalles de almacén.
5. Seleccione Claves de cifrado maestras para ver las claves. Seleccione View Key Details (Ver detalles de clave) para buscar el Protection Mode (Modo de protección) y confirmar que es HSM (Módulo de seguridad de hardware).

1. Conéctese como Administrador, con las políticas correctas para realizar estas acciones. Debe tener el nivel adecuado de acceso de seguridad para crear una CA.
2. En la página de lista Certificate Authorities (Autoridades de certificación), seleccione Create Certificate Authority (Crear autoridad de certificación). Si necesita ayuda para encontrar la página de lista, consulte List Certificate Authorities.
3. Seleccione Compartimento y, a continuación, seleccione el compartimento en la que desea crear la CA.
4. En Tipo de autoridad de certificación, seleccione el tipo Autoridad de certificación subordinada: cualquier CA que no sea la CA raíz en una jerarquía que contenga otras CA.
5. (Opcional) Introduzca un nombre de visualización único para la CA. Este nombre ayuda a identificar la autoridad de certificación con fines administrativos pero no aparece como parte del certificado de la CA. Evite introducir información confidencial.
   Nota
   
   No hay dos CA en un arrendamiento que puedan compartir el mismo nombre, incluidas las CA pendientes de supresión.
6. (Opcional) Para aplicar etiquetas, seleccione Mostrar opciones de etiquetado. Para obtener más información sobre las etiquetas, consulte Etiquetas de recursos.
7. Seleccione Next (Siguiente).
8. Introduzca la información del asunto. La información del sujeto incluye al menos un nombre común (CN) para identificar al titular del certificado del CA. Según el uso previsto del certificado, el sujeto puede identificar una persona, una organización, un punto final de computadora o un dispositivo. El formato de la información de sujeto debe cumplir con los estándares RFC 5280. Puede utilizar comodines para emitir un certificado para varios nombres de dominio o subdominio.
9. Seleccione Next (Siguiente).
10. En Configuración de autoridad, confirme o seleccione el almacén que contiene la clave de cifrado que desea utilizar para el certificado. Si lo desea, seleccione Cambiar compartimiento para especificar un compartimento diferente. Para obtener información sobre la creación y gestión de almacenes, consulte Gestión de almacenes.
11. En Key (Clave), seleccione la clave en el almacén que desea utilizar. La lista incluye solo las claves asimétricas en el almacén porque Certificates solo soporta claves asimétricas. Puede seleccionar entre las claves Rivest-Shamir-Adleman (RSA) que tienen 2.048 bits o 4.096 bits. También puede seleccionar entre las claves eliptic curvas criptografía algoritmo firma digital (ECDSA) que tienen un ID de curva elíptico de NIST_P384. Específicamente, la lista incluye solo estos tipos de claves asimétricas que están protegidas por un módulo de seguridad de hardware (HSM). Los certificados no soportan el uso de claves protegidas por software. Para obtener más información sobre la creación y gestión de claves, consulte Gestión de claves.
12. En Algoritmo de firma, en función de la familia de algoritmos clave, seleccione una de las siguientes opciones:
    • SHA256_WITH_RSA: clave RSA con una función hash SHA-256
    • SHA384_WITH_RSA: clave RSA con una función hash SHA-384
    • SHA512_WITH_RSA: clave RSA con una función hash SHA-512
    • SHA256_WITH_ECDSA: clave ECDSA con una función hash SHA-256
    • SHA384_WITH_ECDSA: clave ECDSA con una función hash SHA-384
    • SHA512_WITH_ECDSA: clave ECDSA con una función hash SHA-512
13. Seleccione Next (Siguiente).
14. Configuración de la regla de caducidad En Duración Máxima de validez de los certificados (días), especifique el número máximo de días que puede ser válido un certificado emitido por esta CA. Recomendamos encarecidamente un período de validez no superior a 90 días.
15. En la página Configuración de Revocación, si no desea configurar una lista Omitir Revocación, seleccione la casilla de control.
16. Seleccione Next (Siguiente).
17. Confirme que la información es correcta y, a continuación, seleccione Crear autoridad de certificación. La creación de recursos relacionados con certificados puede tardar unos minutos.
18. Si la autoridad de certificado se ha creado correctamente, se muestran los detalles de resumen.

1. Utilice este comando para generar una nueva clave privada private.pem y una solicitud de firma de certificado csr.pem con cifrado RSA de 2048 bits. En este ejemplo se muestra el uso del parámetro -nodes que especifica sin protección por contraseña y utiliza las extensiones v3_req.

   openssl req -nodes -newkey rsa:2048 -keyout private.pem -out csr.pem -extensions v3_req

   Nota
   
   Si utiliza Linux, por defecto, el archivo OpenSSL.cnf comenta la extensión, por ejemplo, si ve algo como esto en el archivo de configuración OpenSSL: /etc/pki/tls/openssl.cnf

    # req_extensions = v3_req # The extensions to add to a certificate request

   A continuación, elimine # para quitar los comentarios de las extensiones, de modo que el archivo tenga un aspecto similar al siguiente:

   req_extensions = v3_req  # The extensions to add to a certificate request

   Para verificar que OpenSSL está utilizando extensions v3_req, puede verificar que la salida contiene:

   X509v3 extensions:
       X509v3 Basic Constraints: critical
           CA:FALSE

2. En este ejemplo se muestran los campos de entrada de la solicitud de certificado y los valores de ejemplo. Introduzca la información que se incorporará en el informe de certificado, como nombre distintivo (DN).

   Introduzca el nombre común. Puede encontrar el nombre común en el separador Subject Information de la página Certificate details, consulte el paso 8 Create a Certificate Authority o para obtener ayuda para buscar la página de detalles del certificado, consulte Listing Certificates:

   Country Name (2 letter code) []: US
   State or Province Name (full name) [Some-State]:
   Locality Name (eg, city) []:
   Organization Name (eg, company) []:
   Organizational Unit Name (eg, section) []:
   Common Name (Enter common name from the certificate details.) []:common-name
   Email Address [your@email.com]:
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:
   An optional company name []:

1. En la consola, abra el menú de navegación y seleccione Identidad y seguridad.
2. En la página de lista Certificados, se muestra la lista de Autoridad de certificado para un compartimento específico.
3. Busque el certificado con el que desea trabajar y seleccione el menú Acciones al final de la fila.
4. Seleccione Certificado de incidencia.
5. En Tipo de cheque regalo, para emitir un certificado desde una CA de servicio Certificates gestionada por una CA externa de terceros, seleccione Emitido por una CA interna, gestionada de forma interna.
6. Introduzca un nombre de visualización único para el certificado. Evite introducir información confidencial.
   Nota
   
   No hay dos certificados en el arrendamiento que puedan compartir el mismo nombre, incluidos los certificados pendientes de supresión.
7. (Opcional) Introduzca una descripción que le ayude a identificar el certificado. Evite introducir información confidencial.
8. Para los certificados que gestiona una CA de terceros, no necesita proporcionar información sobre el tema. En su lugar, seleccione Siguiente.
9. En Solicitud de firma de certificado, proporcione el contenido del certificado seleccionando Cargar archivo y, a continuación, seleccione Seleccionar uno para cargar el certificado como un archivo en formato PEM.
10. O bien, seleccione Pegar contenido y, a continuación, seleccione el cuadro de texto para pegar el contenido del certificado directamente.
11. Seleccione Next (Siguiente).
12. No puede configurar la renovación automática para certificados que el servicio Certificates no gestiona. Seleccione Siguiente para continuar.
13. Verifique que la información de resumen es correcta y, a continuación, seleccione Crear certificado.
14. Se abre la página Detalles de certificado. En Versiones, busque el nombre del certificado que desea ver, vaya al menú Acciones al final de la fila y seleccione Ver contenido. Para obtener más información, consulte Visualización de detalles de certificados.
15. Seleccione Descargar y Guardar el archivo Certificate PEM.
16. En la página de detalles del certificado, vaya al separador Información del asunto y copie el nombre común del certificado que se va a utilizar en el siguiente paso.

select * from <domain-short-id-from-device-host>__IOT.RAW_DATA
where digital_twin_instance_id = '<digital-twin-instance-ocid>'