Cenário: Criar uma Instância Digital Twin que use um Certificado mTLS

1. Vá para Identidade e Segurança e selecione Vault.
2. Selecione o Compartimento que deseja usar para seus recursos IoT.
3. Para criar uma chave, selecione Criar Chave e siga as instruções em Criando uma Chave de Criptografia Principal.
4. Ou na lista de Vaults, selecione o menu Ações ao lado do Vault que você deseja usar e, em seguida, selecione Exibir Detalhes do Vault.
5. Selecione Chaves de criptografia mestras para exibir Chaves. Selecione Exibir Detalhes da Chave para localizar o Modo de Proteção e confirmar se ele é HSM (Módulo de Segurança de Hardware).

1. Faça log-in como Administrador, com as políticas corretas para executar essas ações. Você deve ter o nível apropriado de acesso de segurança para criar uma CA.
2. Na página da lista Autoridades de Certificação, selecione Criar Autoridade de Certificação. Se precisar de ajuda para localizar a página da lista, consulte Listando Autoridades de Certificação.
3. Selecione Compartimento e, em seguida, selecione o compartimento no qual deseja criar a CA.
4. Em Tipo de Autoridade de Certificação, selecione o tipo Subordinar Autoridade de Certificação: qualquer CA que não seja a CA raiz em uma hierarquia que contenha outras CAs.
5. (Opcional) Informe um nome de exibição exclusivo para o CA. Esse nome ajuda a identificar a CA para fins administrativos, mas ele não aparece como parte do certificado de CA. Evite digitar informações confidenciais.
   Observação
   
   Duas CAs em uma tenancy não podem compartilhar o mesmo nome, incluindo CAs com exclusão pendente.
6. (Opcional) Para aplicar tags, selecione Mostrar Opções de Tag. Para obter mais informações sobre tags, consulte Tags de Recurso.
7. Selecione Próximo.
8. Especifique informações sobre o assunto. As informações do assunto incluem pelo menos um nome comum (CN) para identificar o proprietário do certificado de CA. Dependendo do uso pretendido do certificado, o assunto poderá identificar uma pessoa, organização, terminal do computador ou um dispositivo. O formato das informações do titular deve estar em conformidade com os padrões do RFC 5280. Caracteres curinga podem ser usados para emitir um certificado de vários nomes de domínio ou subdomínio.
9. Selecione Próximo.
10. Em Configuração de Autoridade, confirme ou selecione o vault que contém a chave de criptografia que você deseja usar para o certificado da CA. Opcionalmente, selecione Alterar Compartimento para especificar outro compartimento. Para obter informações sobre como criar e gerenciar vaults, consulte Gerenciando Vaults.
11. Em Chave, selecione a chave no vault que você deseja usar. A lista inclui apenas as chaves assimétricas no vault porque o serviço Certificates suporta apenas chaves assimétricas. Você pode selecionar entre as chaves Rivest-Shamir-Adleman (RSA) de 2.048 bits ou 4.096 bits. Também é possível selecionar chaves de algoritmo de assinatura digital de criptografia de curva elíptica (ECDSA) que tenham um ID de curva elíptica NIST_P384. Especificamente, a lista inclui apenas esses tipos de chaves assimétricas que são protegidas por um módulo de segurança de hardware (HSM). Os certificados não suportam o uso de chaves protegidas por software. Para obter mais informações sobre como criar e gerenciar chaves, consulte Gerenciando Chaves.
12. Em Algoritmo de Assinatura, dependendo da família de algoritmos-chave, selecione uma das seguintes opções:
    • SHA256_WITH_RSA: Chave RSA com uma função de hash SHA-256
    • SHA384_WITH_RSA: Chave RSA com uma função de hash SHA-384
    • SHA512_WITH_RSA: Chave RSA com uma função de hash SHA-512
    • SHA256_WITH_ECDSA: Chave ECDSA com uma função de hash SHA-256
    • SHA384_WITH_ECDSA: Chave ECDSA com uma função de hash SHA-384
    • SHA512_WITH_ECDSA: Chave ECDSA com uma função de hash SHA-512
13. Selecione Próximo.
14. Configure a regra de expiração. Em Duração Máxima de Validade para Certificados (Dias), especifique o número máximo de dias que um certificado emitido por esta CA pode ser válido. Recomenda-se usar um período de validade de no máximo 90 dias.
15. Na página Configuração de Revogação, se você não quiser configurar uma lista de revogação do certificado (CRL), marque a caixa de seleçãoIgnorar Revogação.
16. Selecione Próximo.
17. Confirme se as informações estão corretas e selecione Criar Autoridade de Certificação. Pode levar alguns minutos para criar recursos relacionados a certificados.
18. Se a Autoridade de Certificação tiver sido criada com sucesso, os detalhes do resumo serão exibidos.

1. Use esse comando para gerar uma nova chave privada private.pem e uma solicitação de assinatura de certificado csr.pem com criptografia RSA de 2048 bits. Este exemplo mostra o uso do parâmetro -nodes que especifica sem proteção por senha e usa as extensões v3_req.

   openssl req -nodes -newkey rsa:2048 -keyout private.pem -out csr.pem -extensions v3_req

   Observação
   
   Se você estiver usando o Linux, por padrão, o arquivo OpenSSL.cnf comentará a extensão, por exemplo, se você vir algo assim no arquivo de configuração OpenSSL: /etc/pki/tls/openssl.cnf

    # req_extensions = v3_req # The extensions to add to a certificate request

   Em seguida, remova o # para cancelar o comentário das extensões, de modo que o arquivo seja semelhante a este:

   req_extensions = v3_req  # The extensions to add to a certificate request

   Para verificar se OpenSSL está usando extensions v3_req, você pode verificar se a saída contém:

   X509v3 extensions:
       X509v3 Basic Constraints: critical
           CA:FALSE

2. Este exemplo mostra os campos de entrada de solicitação de certificado e os valores de exemplo. Insira as informações que serão incorporadas ao seu relatório de certificado, como um DN (Distinguished Name - Nome Distinto).

   Informe o nome comum. Você pode encontrar o nome comum na guia Informações do Assunto da página de detalhes Certificado. Consulte a etapa 8 Criar uma Autoridade de Certificação ou para obter ajuda para encontrar a página de detalhes do certificado. Consulte Listando Certificados:

   Country Name (2 letter code) []: US
   State or Province Name (full name) [Some-State]:
   Locality Name (eg, city) []:
   Organization Name (eg, company) []:
   Organizational Unit Name (eg, section) []:
   Common Name (Enter common name from the certificate details.) []:common-name
   Email Address [your@email.com]:
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:
   An optional company name []:

1. Na Console, abra o menu de navegação e selecione Identidade e Segurança.
2. Na página de lista Certificados, a lista de Autoridade de Certificação de um compartimento específico é exibida.
3. Localize o Certificado com o qual deseja trabalhar e selecione o menu Ações no final da linha.
4. Selecione Certificado de Emissão.
5. Em Tipo de Certificado, para emitir um certificado de uma CA do serviço Certificates gerenciada por uma CA externa de terceiros, selecione Emitido por CA interna e gerenciado externamente.
6. Informe um nome de exibição exclusivo para o certificado. Evite digitar informações confidenciais.
   Observação
   
   Dois certificados na tenancy não podem compartilhar o mesmo nome, incluindo certificados com exclusão pendente.
7. (Opcional) Informe uma descrição para ajudar a identificar o certificado. Evite digitar informações confidenciais.
8. Para certificados gerenciados por uma CA de terceiros, não é necessário fornecer informações de assunto. Em vez disso, selecione Próximo.
9. Em Solicitação de Assinatura de Certificado, forneça o conteúdo do certificado selecionando Fazer Upload do Arquivo e, em seguida, selecione Selecionar Um para fazer upload do certificado como um arquivo no formato PEM.
10. Ou selecione Colar Conteúdo e, em seguida, selecione a caixa de texto para colar o conteúdo do certificado diretamente.
11. Selecione Próximo.
12. Não é possível configurar a renovação automática para certificados que o serviço Certificates não gerencia. Selecione Próximo para continuar.
13. Verifique se as informações do resumo estão corretas e selecione Criar Certificado.
14. Será aberta a página Detalhes do certificado. Em Versões, localize o nome do certificado que você deseja exibir, vá para o menu Ações no final da linha e selecione Exibir Conteúdo. Para obter mais informações, consulte Exibindo Detalhes do Certificado.
15. Selecione Fazer Download e Salvar o arquivo PEM do Certificado.
16. Na página Detalhes do certificado, vá para a guia Informações do assunto e copie o Nome Comum para o certificado a ser usado na próxima etapa.

select * from <domain-short-id-from-device-host>__IOT.RAW_DATA
where digital_twin_instance_id = '<digital-twin-instance-ocid>'