Scénario : création d'une instance de jumeau numérique qui utilise un certificat mTLS

1. Accédez à Identité et sécurité, puis sélectionnez Coffre.
2. Sélectionnez le compartiment à utiliser pour vos ressources IoT.
3. Pour créer une clé, sélectionnez Créer une clé et suivez les instructions de la section Création d'une clé de cryptage maître.
4. Ou, dans la liste des coffrets, sélectionnez le menu Actions en regard du coffre à utiliser, puis sélectionnez Afficher les détails du coffre.
5. Sélectionnez Clés de cryptage maître pour visualiser les clés. Sélectionnez Visualiser les détails de clé pour rechercher le mode de protection et vérifier qu'il s'agit d'un module HSM (Hardware Security Module).

1. Connectez-vous en tant qu'administrateur, avec les stratégies appropriées pour effectuer ces actions. Vous devez disposer du niveau d'accès de sécurité approprié pour créer une autorité de certification.
2. Sur la page de liste Autorités de certification, sélectionnez Créer une autorité de certification. Si vous avez besoin d'aide pour trouver la page de liste, reportez-vous à Liste des autorités de certification.
3. Sélectionnez Compartiment, puis sélectionnez le compartiment dans lequel créer l'autorité de certification.
4. Sous Type d'autorité de certification, sélectionnez le type Autorité de certification subordonnée : toute autorité de certification qui n'est pas l'autorité de certification racine dans une hiérarchie contenant d'autres autorités de certification.
5. (Facultatif) Entrez un nom d'affichage unique pour l'autorité de certification. Ce nom vous aide à identifier l'autorité de certifications à des fins d'administration, mais il n'apparaît pas dans un certificat de l'autorité de certifications. Evitez de saisir des informations confidentielles.
   Remarque
   
   Deux autorités de certification d'une location ne peuvent pas partager le même nom, y compris les autorités de certification en attente de suppression.
6. (Facultatif) Pour appliquer des balises, sélectionnez Afficher les options de balisage. Pour plus d'informations sur les balises, reportez-vous à Balises de ressource.
7. Sélectionnez Suivant.
8. Entrez les informations sur le sujet. Les informations sur l'objet comprennent au moins un nom commun permettant d'identificateur le propriétaire du certificat de l'autorité de certificat. Selon l'utilisation prévue du certificat, le sujet peut identifier une personne, une organisation, une adresse d'ordinateur ou un périphérique. Le format des informations sur le sujet doit être conforme aux normes RFC 5280. Vous pouvez utiliser des caractères génériques pour émettre un certificat correspondant à plusieurs noms de domaine ou de sous-domaine.
9. Sélectionnez Suivant.
10. Sous Configuration de l'autorité, confirmez ou sélectionnez le coffre qui contient la clé de cryptage à utiliser pour le certificat d'autorité de certificat. Vous pouvez également sélectionner Modifier le compartiment pour indiquer un autre compartiment. Pour plus d'informations sur la création et la gestion des coffres, reportez-vous à Gestion des coffres.
11. Sous Key, sélectionnez la clé du coffre à utiliser. La liste comprend uniquement les clés asymétriques du coffre car ces dernières sont les seules clés prises en charge par Certificates. Vous pouvez sélectionner parmi les clés RSA (Rivest-Shamir-Adleman) 2 048 bits ou 4 096 bits. Vous pouvez également sélectionner des clés ECDSA (algorithme des signatures numériques à courbe elliptique) avec ID de courbe elliptique NIST_P384. Plus précisément, la liste inclut uniquement les types de clé asymétrique protégée par un module de sécurité HSM. Les certificats ne prennent pas en charge l'utilisation de clés protégées par logiciel. Pour plus d'informations sur la création et la gestion des clés, reportez-vous à Gestion des clés.
12. Sous Algorithme de signature, en fonction de la famille d'algorithmes de clé, sélectionnez l'une des options suivantes :
    • SHA256_WITH_RSA : clé RSA avec une fonction SHA-256 de hachage
    • SHA384_WITH_RSA : clé RSA avec une fonction SHA-384 de hachage
    • SHA512_WITH_RSA : clé RSA avec une fonction SHA-512 de hachage
    • SHA256_WITH_ECDSA : clé ECDSA avec une fonction SHA-256 de hachage
    • SHA384_WITH_ECDSA : clé ECDSA avec une fonction SHA-384 de hachage
    • SHA512_WITH_ECDSA : clé ECDSA avec une fonction SHA-512 de hachage
13. Sélectionnez Suivant.
14. Configuration de la règle d'expiration Sous Durée de validité maximum des certificats (jours), indiquez le nombre maximal de jours pendant lequel un certificat émis par l'autorité de certification peut être valide. Nous vous recommandons vivement de ne pas définir de période de validité de plus 90 jours.
15. Sur la page Configuration de révocations, si vous ne voulez pas configurer de liste de certificats révoqués, cochez la caseIgnorer les révocations.
16. Sélectionnez Suivant.
17. Vérifiez que les informations sont correctes, puis cliquez sur Créer une autorité de certification. La création de ressources liées aux certificats peut prendre quelques minutes.
18. Si l'autorité de certification a été créée, les détails récapitulatifs sont affichés.

1. Utilisez cette commande pour générer une nouvelle clé privée private.pem et une demande de signature de certificat csr.pem avec cryptage RSA 2048 bits. Cet exemple montre comment utiliser le paramètre -nodes qui spécifie sans protection par mot de passe et utilise les extensions v3_req.

   openssl req -nodes -newkey rsa:2048 -keyout private.pem -out csr.pem -extensions v3_req

   Remarque
   
   Si vous utilisez Linux, par défaut, le fichier OpenSSL.cnf met en commentaire l'extension, par exemple, si le fichier de configuration OpenSSL contient un élément semblable au suivant : /etc/pki/tls/openssl.cnf

    # req_extensions = v3_req # The extensions to add to a certificate request

   Supprimez ensuite le fichier # pour supprimer les extensions du commentaire. Le fichier se présente ainsi :

   req_extensions = v3_req  # The extensions to add to a certificate request

   Pour vérifier que OpenSSL utilise extensions v3_req, vous pouvez vérifier que la sortie contient :

   X509v3 extensions:
       X509v3 Basic Constraints: critical
           CA:FALSE

2. Cet exemple montre les champs d'entrée de demande de certificat et des exemples de valeurs. Entrez les informations qui seront incorporées dans votre rapport de certificat, en tant que nom distinctif (DN).

   Entrez le nom commun. Vous pouvez trouver le nom courant dans l'onglet Informations sur le sujet de la page de détails Certificat. Reportez-vous à l'étape 8 Création d'une autorité de certification ou pour obtenir de l'aide sur la page de détails du certificat, reportez-vous à Liste des certificats :

   Country Name (2 letter code) []: US
   State or Province Name (full name) [Some-State]:
   Locality Name (eg, city) []:
   Organization Name (eg, company) []:
   Organizational Unit Name (eg, section) []:
   Common Name (Enter common name from the certificate details.) []:common-name
   Email Address [your@email.com]:
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:
   An optional company name []:

1. Dans la console, ouvrez le menu de navigation, puis sélectionnez Identité et sécurité.
2. Sur la page de liste Certificats, la liste de l'autorité de certification d'un compartiment spécifique est affichée.
3. Recherchez le certificat à utiliser, puis sélectionnez le menu Actions à la fin de la ligne.
4. Sélectionnez Problème de certificat.
5. Sous Type de chèque-cadeau, pour émettre un certificat à partir d'une Autorité de certification de service Certificates gérée par une Autorité de certification tierce externe, sélectionnez Emis par l'autorité de certification interne, gérée en externe.
6. Entrez un nom d'affichage unique pour le certificat. Evitez de saisir des informations confidentielles.
   Remarque
   
   Deux certificats de la location ne peuvent pas partager le même nom, y compris les certificats en attente de suppression.
7. (Facultatif) Saisissez une description pour permettre d'identifier plus facilement le certificat. Evitez de saisir des informations confidentielles.
8. Pour les certificats gérés par une autorité de certification tierce, vous n'avez pas besoin de fournir des informations sur le sujet. A la place, sélectionnez Suivant.
9. Sous Demande de signature de certificat, indiquez le contenu du certificat en sélectionnant Télécharger le fichier, puis sélectionnez Sélectionner un élément pour charger le certificat en tant que fichier au format PEM.
10. Vous pouvez également sélectionner Coller le contenu, puis sélectionner la zone de texte pour coller directement le contenu du certificat.
11. Sélectionnez Suivant.
12. Vous ne pouvez pas configurer le renouvellement automatique pour les certificats que le service Certificates ne gère pas. Sélectionnez Next pour continuer.
13. Vérifiez que les informations récapitulatives sont correctes, puis sélectionnez Créer un certificat.
14. La page Détails du certificat s'ouvre. Sous Versions, recherchez le nom du certificat à afficher, accédez au menu Actions à la fin de la ligne, puis sélectionnez Afficher le contenu. Pour plus d'informations, reportez-vous à Affichage des détails d'un certificat.
15. Sélectionnez Télécharger et Enregistrer le fichier PEM de certificat.
16. Sur la page de détails du certificat, accédez à l'onglet Informations sur l'objet, copiez le nom commun du certificat à utiliser à l'étape suivante.

select * from <domain-short-id-from-device-host>__IOT.RAW_DATA
where digital_twin_instance_id = '<digital-twin-instance-ocid>'