本 Howto では、 Armadillo IoT ゲートウェイ G3M1 に搭載されている、
セキュアエレメント SE050 を使用し AWS IoT Core へ接続するデモの動作方法を説明します。
以下の URL に示されている手順を参考にしております。
https://freescale.jiveon.com/docs/DOC-347197
事前に、Howto: SE050 ミドルウェア (Plug&Trust MW) ビルド手順 を参照し、
NXP 社提供の SE050 ミドルウェアをビルドしておいてください。
AWS の設定
アカウントの作成
AWS アカウントの作成方法については、 こちら を参照してください。
IAMユーザー作成
AWSマネジメントコンソールへログインし、サービス一覧からIAMを選択してください。
その後、ユーザータブを開き、「ユーザーを追加」をクリックします。
下記の通り入力、選択し「次のステップ: アクセス権限」に進みます。
- ユーザー名
- AWSアクセスの種類を両方選択
- コンソールのパスワードは自動生成パスワードを選択
- 「パスワードのリセットが必要」にチェックを入れる
「アクセス許可の設定」画面では、
下記の手順でポリシーをアタッチし、「次のステップ: タグ」に進みます。
- 「既存のポリシーを直接アタッチ」を選択
- ポリシーのフィルタにAWSIoTConfigAccessと入力
- 表示されたAWSIoTConfigAccessにチェック
「タグの追加」画面では、何もせず「次のステップ:確認」に進みます。
「確認」画面では、内容を確認し「ユーザーの作成」に進みます。
「ユーザーの作成」画面では、csv のダウンロードをクリックし、
new_user_credentials.csv をダウンロードし、左下の閉じるをクリックします。
ポリシーの作成
- IoT Core へ移動し、「ポリシー」→「作成」を選択します。
- ポリシーの名前を入力し、「アドバンスモード」を選択します。
ここでは、ポリシー名を "my_test_policy" としています。
このポリシー名は後程使用しますので、メモしておいてください。
- ポリシー構文に以下の様に入力します。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "iot:*",
"Resource": "*"
}
]
}
モノの作成
- AWS IoT Coreの「モノ」→「単一のモノを作成する」を選択します。
- モノの名前を入力し「次へ」を選択します。
ここでは、モノの名前を "my_armadillo001" としています。
このモノの名前は後程使用しますので、メモしておいてください。
- 「証明書なしでモノを作成」を選択します。
Armadillo 側の手順
GPIO 73 を high に設定する
SE050 へアクセスするには GPIO 73 を high にする必要があります。
以下にスクリプトの例を記載しますのでご利用ください。
#!/bin/bash
GPIO_EXPORT="/sys/class/gpio/export"
RESET_GPIO_NUM="73"
RESET_GPIO="/sys/class/gpio/gpio"$RESET_GPIO_NUM"/direction"
if [ ! -e $RESET_GPIO ]; then
echo $RESET_GPIO_NUM > $GPIO_EXPORT
fi
echo high > $RESET_GPIO
sleep 0.3
i2cdetect -y 3
if [ $? -ne 0 ]; then
echo "not detect slave addr"
echo "NG"
fi
ssscli のインストール
コマンドツール ssscli をインストールします。
# apt install python3
# apt install python3-pip3
# apt install libffi-dev
# cd ~/simw-top/pycli/
root@armadillo:~/simw-top/pycli# pip3 install -r requirements.txt
root@armadillo:~/simw-top/pycli# pip3 install --editable src
aws-cli のインストール
aws-cli をインストールします。
# pip3 install awscli --upgrade --user
# export PATH=/root/.local/bin:$PATH
aws-cli のバージョンは以下のコマンドで確認できます。
# aws --version
aws-cli/1.18.139 Python/3.7.3 Linux/4.9.112-at2-dirty botocore/1.17.62
AWS のコンフィグレーションを実施する
AWS のコンフィグレーションが未実施の場合、 aws configure コマンドを実行します。
# aws configure
各パラメーターは以下の通りに設定します。
- AWS Access Key ID [None]: new_user_credentials.csv の Password 列に記載されている文字列
- AWS Secret Access Key [None]: new_user_credentials.csv の Access 列に記載されている文字列
- Default region name [None]: ご利用の region
- Default output format [None]: json
例えば、Password が AWS123 で Access が AWS/access で
ご利用の region が ap-northeast-1 の場合、以下のようになります。
# aws configure
AWS Access Key ID [None]: AWS123
AWS Secret Access Key [None]: AWS\access
Default region name [None]: ap-northeast-1
Default output format [None]: json
証明書を AWS IoT Core へ登録する
SE050 から証明書を取り出します。
# cd
root@armadillo:~# mkdir certs
root@armadillo:~# cd certs
root@armadillo:~/certs# ssscli connect se050 t1oi2c /dev/i2c-3:0x48
root@armadillo:~/certs# ssscli get cert 0xF0000101 se050_device_cert0_ecc.cer
root@armadillo:~/certs# ssscli refpem ecc pair 0xF0000100 se050_device_key_ref0_ecc.pem
root@armadillo:~/certs# ssscli disconnect
証明書を AWS IoT Core へ登録します。
root@armadillo:~/certs# aws iot register-certificate-without-ca --certificate-pem file://se050_device_cert0_ecc.cer --status ACTIVE
{
"certificateArn": "MY-ARN",
"certificateId": "MY-CERTIFICATED-ID"
}
MY-ARN をメモしておいてください。
ポリシーのアタッチ
ポリシーをアタッチします。
"my_test_policy” は、ポリシーの作成 で設定したポリシー名です。
# aws iot attach-policy --target arn:[my-arn] --policy-name my_test_policy
エンドポイント取得
以下のコマンドでエンドポイントを取得します。
MY-ENDPOINT-ADDRESS は後で使用しますので、メモしておいてください。
root@armadillo:~/certs# aws iot describe-endpoint --endpoint-type iot:Data-ATS
{
"endpointAddress": "MY-ENDPOINT-ADDRESS"
}
デモのビルド
デモのビルドに git が必要なのでインストールします。
# apt install git
~/simw-top/demos/linux/aws_eou/ へ移動します。
# cd ~/simw-top/demos/linux/aws_eou/
~/simw-top/demos/linux/aws_eou/buildScript.sh の "git checkout v4_beta" を "git checkout v4_beta_deprecated" に変更します。
...前略...
git clone https://github.com/aws/aws-iot-device-sdk-embedded-C.git
cd aws-iot-device-sdk-embedded-C
-git checkout v4_beta
+git checkout v4_beta_deprecated
git submodule update --init --recursive
mkdir build
cp ../aws_c_sdk_eou.patch .
git apply aws_c_sdk_eou.patch
cd build
cmake ../.
cmake -DIOT_NETWORK_USE_OPENSSL:BOOL=ON .
make iot_demo_mqtt -j
cp ../../AmazonRootCA1.pem output/bin/
buildScript.sh に実行権限を付与しビルドします。
root@armadillo:~/simw-top/demos/linux/aws_eou# chmod +x buildScript.sh
root@armadillo:~/simw-top/demos/linux/aws_eou# ./buildScript.sh
デモ実行
sscli で使用する i2c のポートを export します。
root@armadillo:# export EX_SSS_BOOT_SSS_PORT=/dev/i2c-3:0x48
証明書を ~/simw-top/demos/linux/aws_eou/aws-iot-device-sdk-embedded-C/build/output/bin へコピーします。
# cp ~/certs/se050_device* ~/simw-top/demos/linux/aws_eou/aws-iot-device-sdk-embedded-C/build/output/bin/.
以下のコマンドを実行すると、iotdemo/# のトピックが更新されます。
"my_armadillo001" は、モノの作成 で設定したモノの名前です。
root@armadillo:~/simw-top/demos/linux/aws_eou/aws-iot-device-sdk-embedded-C/build/output/bin# ./iot_demo_mqtt -i "my_armadillo001" -h "MY-ENDPOINT-ADDRESS" -r AmazonRootCA1.pem -c se050_device_cert0_ecc.cer -k se050_device_key_ref0_ecc.pem
注釈
本 Howto では、 サンプルプログラムの都合でローカルに証明書 (se050_device_cert0_ecc.cer) を配置しておりますが、
実際の運用では、セキュアエレメント内に証明書を格納したままで、プログラム内で取得・操作された方が安全です。