Howto

SE050 を使用して AWS IoT Core へ接続する

本 Howto では、 Armadillo IoT ゲートウェイ G3M1 に搭載されている、
セキュアエレメント SE050 を使用し AWS IoT Core へ接続するデモの動作方法を説明します。

以下の URL に示されている手順を参考にしております。
https://freescale.jiveon.com/docs/DOC-347197

事前に、Howto: SE050 ミドルウェア (Plug&Trust MW) ビルド手順 を参照し、
NXP 社提供の SE050 ミドルウェアをビルドしておいてください。

AWS の設定

アカウントの作成

AWS アカウントの作成方法については、 こちら を参照してください。

IAMユーザー作成

AWSマネジメントコンソールへログインし、サービス一覧からIAMを選択してください。
その後、ユーザータブを開き、「ユーザーを追加」をクリックします。

下記の通り入力、選択し「次のステップ: アクセス権限」に進みます。

  • ユーザー名
  • AWSアクセスの種類を両方選択
  • コンソールのパスワードは自動生成パスワードを選択
  • 「パスワードのリセットが必要」にチェックを入れる

「アクセス許可の設定」画面では、
下記の手順でポリシーをアタッチし、「次のステップ: タグ」に進みます。

  • 「既存のポリシーを直接アタッチ」を選択
  • ポリシーのフィルタにAWSIoTConfigAccessと入力
  • 表示されたAWSIoTConfigAccessにチェック

「タグの追加」画面では、何もせず「次のステップ:確認」に進みます。

「確認」画面では、内容を確認し「ユーザーの作成」に進みます。

「ユーザーの作成」画面では、csv のダウンロードをクリックし、
new_user_credentials.csv をダウンロードし、左下の閉じるをクリックします。

ポリシーの作成

  1. IoT Core へ移動し、「ポリシー」→「作成」を選択します。


  2. ポリシーの名前を入力し、「アドバンスモード」を選択します。
    ここでは、ポリシー名を "my_test_policy" としています。
    このポリシー名は後程使用しますので、メモしておいてください。


  3. ポリシー構文に以下の様に入力します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
       "Effect": "Allow",
       "Action": "iot:*",
       "Resource": "*" 
    }
  ]
}

モノの作成

  1. AWS IoT Coreの「モノ」→「単一のモノを作成する」を選択します。


  2. モノの名前を入力し「次へ」を選択します。
    ここでは、モノの名前を "my_armadillo001" としています。
    このモノの名前は後程使用しますので、メモしておいてください。


  3. 「証明書なしでモノを作成」を選択します。

Armadillo 側の手順

GPIO 73 を high に設定する

SE050 へアクセスするには GPIO 73 を high にする必要があります。
以下にスクリプトの例を記載しますのでご利用ください。

#!/bin/bash

GPIO_EXPORT="/sys/class/gpio/export"
RESET_GPIO_NUM="73"
RESET_GPIO="/sys/class/gpio/gpio"$RESET_GPIO_NUM"/direction"

if [ ! -e $RESET_GPIO ]; then
        echo $RESET_GPIO_NUM > $GPIO_EXPORT
fi

echo high > $RESET_GPIO
sleep 0.3
i2cdetect -y 3
if [ $? -ne 0 ]; then
        echo "not detect slave addr"
        echo "NG"
fi

ssscli のインストール

コマンドツール ssscli をインストールします。

# apt install python3
# apt install python3-pip3
# apt install libffi-dev
# cd ~/simw-top/pycli/
root@armadillo:~/simw-top/pycli# pip3 install -r requirements.txt
root@armadillo:~/simw-top/pycli# pip3 install --editable src

aws-cli のインストール

aws-cli をインストールします。

# pip3 install awscli --upgrade --user
# export PATH=/root/.local/bin:$PATH

aws-cli のバージョンは以下のコマンドで確認できます。

# aws --version
aws-cli/1.18.139 Python/3.7.3 Linux/4.9.112-at2-dirty botocore/1.17.62

AWS のコンフィグレーションを実施する

AWS のコンフィグレーションが未実施の場合、 aws configure コマンドを実行します。

# aws configure

各パラメーターは以下の通りに設定します。

  • AWS Access Key ID [None]: new_user_credentials.csv の Password 列に記載されている文字列
  • AWS Secret Access Key [None]: new_user_credentials.csv の Access 列に記載されている文字列
  • Default region name [None]: ご利用の region
  • Default output format [None]: json

例えば、Password が AWS123 で Access が AWS/access で
ご利用の region が ap-northeast-1 の場合、以下のようになります。

# aws configure
AWS Access Key ID [None]: AWS123
AWS Secret Access Key [None]: AWS\access
Default region name [None]: ap-northeast-1
Default output format [None]: json

証明書を AWS IoT Core へ登録する

SE050 から証明書を取り出します。

# cd
root@armadillo:~# mkdir certs
root@armadillo:~# cd certs
root@armadillo:~/certs# ssscli connect se050 t1oi2c /dev/i2c-3:0x48
root@armadillo:~/certs# ssscli get cert 0xF0000101 se050_device_cert0_ecc.cer
root@armadillo:~/certs# ssscli refpem ecc pair 0xF0000100 se050_device_key_ref0_ecc.pem
root@armadillo:~/certs# ssscli disconnect

証明書を AWS IoT Core へ登録します。

root@armadillo:~/certs# aws iot register-certificate-without-ca --certificate-pem file://se050_device_cert0_ecc.cer --status ACTIVE

{
    "certificateArn": "MY-ARN",
    "certificateId": "MY-CERTIFICATED-ID"
}

MY-ARN をメモしておいてください。

ポリシーのアタッチ

ポリシーをアタッチします。
"my_test_policy” は、ポリシーの作成 で設定したポリシー名です。

# aws iot attach-policy --target arn:[my-arn] --policy-name my_test_policy

エンドポイント取得

以下のコマンドでエンドポイントを取得します。
MY-ENDPOINT-ADDRESS は後で使用しますので、メモしておいてください。

root@armadillo:~/certs# aws iot describe-endpoint --endpoint-type iot:Data-ATS
{
    "endpointAddress": "MY-ENDPOINT-ADDRESS" 
}

デモのビルド

デモのビルドに git が必要なのでインストールします。

# apt install git

~/simw-top/demos/linux/aws_eou/ へ移動します。

# cd ~/simw-top/demos/linux/aws_eou/

~/simw-top/demos/linux/aws_eou/buildScript.sh の "git checkout v4_beta" を "git checkout v4_beta_deprecated" に変更します。

...前略...
git clone https://github.com/aws/aws-iot-device-sdk-embedded-C.git
cd aws-iot-device-sdk-embedded-C
-git checkout v4_beta
+git checkout v4_beta_deprecated
git submodule update --init --recursive
mkdir build
cp ../aws_c_sdk_eou.patch .
git apply aws_c_sdk_eou.patch
cd  build
cmake ../.
cmake -DIOT_NETWORK_USE_OPENSSL:BOOL=ON .
make iot_demo_mqtt -j
cp ../../AmazonRootCA1.pem output/bin/

buildScript.sh に実行権限を付与しビルドします。

root@armadillo:~/simw-top/demos/linux/aws_eou# chmod +x buildScript.sh
root@armadillo:~/simw-top/demos/linux/aws_eou# ./buildScript.sh

デモ実行

sscli で使用する i2c のポートを export します。

root@armadillo:# export EX_SSS_BOOT_SSS_PORT=/dev/i2c-3:0x48

証明書を ~/simw-top/demos/linux/aws_eou/aws-iot-device-sdk-embedded-C/build/output/bin へコピーします。

# cp ~/certs/se050_device* ~/simw-top/demos/linux/aws_eou/aws-iot-device-sdk-embedded-C/build/output/bin/.

以下のコマンドを実行すると、iotdemo/# のトピックが更新されます。
"my_armadillo001" は、モノの作成 で設定したモノの名前です。

root@armadillo:~/simw-top/demos/linux/aws_eou/aws-iot-device-sdk-embedded-C/build/output/bin# ./iot_demo_mqtt -i "my_armadillo001" -h "MY-ENDPOINT-ADDRESS" -r AmazonRootCA1.pem -c  se050_device_cert0_ecc.cer -k se050_device_key_ref0_ecc.pem

注釈

本 Howto では、 サンプルプログラムの都合でローカルに証明書 (se050_device_cert0_ecc.cer) を配置しておりますが、
実際の運用では、セキュアエレメント内に証明書を格納したままで、プログラム内で取得・操作された方が安全です。