Mettre en service et sécuriser les appareils
Cette page explique comment les appareils rejoignent Fundamentum : comment vous organisez votre parc, décrivez vos modèles d'appareils et mettez chaque appareil en ligne avec sa propre identité sécurisée, du prototype unique à la production en usine.
Organiser votre parc avec des registres
Un registre est un conteneur d'appareils à l'intérieur d'un projet. Vous décidez comment segmenter votre parc : un registre par site, par client ou par type d'installation. Un registre définit :
- les paramètres de connexion que ses appareils utilisent (l'hôte et le port MQTT, ainsi que le secret de provisionnement) ;
- une fenêtre de provisionnement, la période pendant laquelle de nouveaux appareils peuvent le rejoindre ;
- un quota par type d'appareil, le nombre maximal d'appareils de chaque modèle qu'il accepte ;
- les topics où sont publiées la télémétrie et les états de ses appareils.
Décrire vos modèles d'appareils avec les types d'appareils
Un type d'appareil est le modèle à partir duquel un appareil est créé. Il comprend :
- une configuration par défaut, copiée sur chaque nouvel appareil de ce type ;
- des métadonnées par défaut ;
- la politique de heartbeat : la durée pendant laquelle un appareil peut rester silencieux avant d'être considéré comme déconnecté ;
- ses versions de micrologiciel, avec leurs fichiers ;
- ses fonctionnalités : les actions prises en charge par le modèle, et la manière de les encoder pour chaque version de micrologiciel (voir Operate remotely) ;
- s'il s'agit d'une passerelle, et s'il s'agit d'un appareil LoRaWAN.
Chaque type d'appareil possède un identifiant de type d'actif, le numéro que les appareils utilisent pour indiquer de quel modèle ils relèvent.
Mettre les appareils en ligne
Fundamentum prend en charge plusieurs modes de provisionnement, afin que vous puissiez choisir celui qui correspond à la façon dont vos appareils sont conçus et installés.
Auto-provisionnement
L'appareil s'enregistre lui-même dans un registre, à l'aide du secret de provisionnement du registre. Depuis le tableau de bord d'un registre, le Hub génère un fichier de jeton prêt à flasher contenant tout ce dont l'appareil a besoin : l'URL de la Devices API, l'hôte et le port MQTT, le projet, le registre et le secret. L'appareil envoie son numéro de série et la clé publique de sa paire de clés RSA, et reçoit en retour sa configuration et les détails de sa connexion MQTT.
Préenregistrement en usine : appareils en stock
Lorsque les appareils sont fabriqués avant que l'on sache où ils seront installés, vous les préenregistrez comme appareils en stock : l'usine enregistre chaque numéro de série et chaque clé publique, avec l'autorisation d'une clé de provisionnement limitée dans le temps. Un appareil en stock ne peut pas encore se connecter. Plus tard, lorsque la destination est connue, vous l'affectez au registre du client ; l'appareil demande son registre jusqu'à obtenir une réponse, puis se connecte avec les mêmes informations d'identification. Un appareil en stock peut aussi être remis en stock et affecté à un autre registre.
LoRaWAN
Fundamentum inclut un LoRaWAN Join Server. Vous enregistrez vos appareils LoRaWAN, définissez leur AppKey depuis le Hub, et la plateforme gère leurs demandes de jonction.
Sécurisé par défaut
- Une identité par appareil. Chaque appareil s'authentifie avec sa propre paire de clés RSA ; Fundamentum ne stocke que la clé publique.
- Aucun reprovisionnement accidentel. Un appareil déjà provisionné avec des informations d'identification différentes est refusé ; le remplacement de ses informations d'identification est toujours une étape explicite.
- Les fenêtres et les quotas limitent le moment où les appareils peuvent rejoindre chaque registre et leur nombre.
Consultez Security and trust pour une vue d'ensemble complète.
Aller plus loin
-
Devices : les guides sur les appareils.
-
Provisioning : choisir un mode de provisionnement.