セキュアな IoT システムを構築するための Azure 活用ポイント

1. Session ID:CLD-014
本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 開催日（2016年11月1－2日）時点のものであり、予告なく変更される場合があります。

2. データソリューションアーキテクト
加藤 雅規
ミッション
Azureをご活用いただけるお客様を技術的
に支援すること

3. IoT？

4. IoTシステムをセキュアにするための
・Azureにおける観点
・実装方法
についてご理解いただき、
開発を進められるようになること

6. • スケールの変更しやすさ
• IoT関連サービスの豊富さ – 特にPaaS

8. • ISO 27018、HIPAA、FedRAMP、SOC 1、SOC 2 などの、
幅広い国際的および業界固有のコンプライアンス基準に適合
• 日本初のクラウドセキュリティゴールドマークを取得 (外部
監査人による ISO 27017 認定)
• ネットワーク レイヤに人工知能を用いた DDoS / DOS /
IDS 防御機能を標準で備え、不正なトラフィックを自動的
に検知・遮断
• 米国本社の他、日本を含む世界５都市にてサイバークライム
センターを運営

9. • 基本：スケーラビリティと信頼性
• Azure IoT Hub ：数百万イベント/秒に対応したクラウドGW
• Azure Data Lake ：エクサバイト級のストレージ
• Azure HDInsight & Spark ：Hadoopによるデータ処理
• Azure SQL Data Warehouse ：ペタバイト級のDWH
• Azure Data Factory ：ワークフロー/情報生成ツール
• 付加価値：自動検知、自動判断、予測、可視化
• Azure Stream Analytics ：リアルタイム集計、特異点検知
• Azure Machine Learning ：機械学習プラットフォーム
• Cognitive Services ：人工知能API群
• Power BI ：データの可視化ツール

10. Platform Services
Infrastructure Services
Web Apps
Mobile
Apps
API
Management
API Apps
Logic Apps
Notification
Hubs
Content
Delivery
Network (CDN)
Media
Services
BizTalk
Services
Hybrid
Connections
Service Bus
Storage
Queues
Hybrid
Operations
Backup
StorSimple
Azure Site
Recovery
Import/Export
SQL
Database
DocumentDB
Redis
Cache
Azure
Search
Storage
Tables
Data
Warehouse Azure AD
Health Monitoring
AD Privileged
Identity
Management
Operational
Analytics
Cloud
Services
Batch
RemoteApp
Service
Fabric
Visual Studio
App
Insights
Azure
SDK
VS Online
Domain Services
HDInsight Machine
Learning
Stream
Analytics
Data
Factory
Event
Hubs
Mobile
Engagement
Data
Lake
IoT Hub
Data
Catalog
Security &
Managemen
t
Azure Active
Directory
Multi-Factor
Authentication
Automation
Portal
Key Vault
Store/
Marketplace
VM Image Gallery
& VM Depot
Azure AD
B2C
Scheduler
The Azure Platform

11. デバイス接続 ＆ 管理
分析 ＆ オペレーション
インサイト
プレゼンテーション
＆ ビジネス接続
フィールド
GW
OPC/UA
デバイス
RTOS,Linux,Windows,Android,iOS
プロトコル
アダプタ
バッチ分析＆可視化
Azure HDInsight, AzureML,
Power BI, Azure Data Factory
ホットパス分析
Azure Stream Analytics,
Azure HDInsight Storm
ダッシュボード、
ERP/CRM、システム統合
App Service, Websites
Dynamics, BizTalk Services,
Notification Hubs
ホットパス・
ビジネスロジック
Service Fabric & Actor Framework
クラウド
ゲートウェイ
IoT Hub
プロトコル
アダプタ
フィールド
GW
OPC/UA

12. デバイス接続 ＆ 管理
分析 ＆ オペレーション
インサイト
プレゼンテーション
＆ ビジネス接続
フィールド
GW
OPC/UA
デバイス
RTOS,Linux,Windows,Android,iOS
プロトコル
アダプタ
バッチ分析＆可視化
Azure HDInsight, AzureML,
Power BI, Azure Data Factory
ホットパス分析
Azure Stream Analytics,
Azure HDInsight Storm
ダッシュボード、
ERP/CRM、システム統合
App Service, Websites
Dynamics, BizTalk Services,
Notification Hubs
ホットパス・
ビジネスロジック
Service Fabric & Actor Framework
クラウド
ゲートウェイ
IoT Hub
プロトコル
アダプタ
フィールド
GW
OPC/UA
IoT Hub
HDInsigt, ML,
Data Factory
Stream Analytics,
HDInsight
Service Fabric
PowerBI,
Dynamics,
Biztalk Services

13. • 通信の保護：デバイスごとのセキュリティ資格情報とアクセス制御
• 双方向メッセージング：スケーラビリティと信頼性
• デバイスライブラリ：マルチプラットフォーム / マルチランゲージ
AMQP, MQTT,
HTTPS
バックエンド
サービス
IDレジストリ

14. Azure IoT Hub の機能を含む、事前構成済みソリューション
Remote monitoring
Architecture

16. IoTデプロイの保護
デバイスの
セキュリティ
接続のセキュリティ クラウドの
セキュリティ

17. • デバイスの認証
• IDレジストリにデバイスIDと認証情報
を格納
• 各デバイスは、任意に有効化/無効化

18. 認証方法 キー
特定のデバイス
を認証？
セキュリティ
トークン
共有アクセスポリシー
のアクセスキー
×
デバイスキー 〇
X.509証明書 ×

19. • IoT Hubのすべてのエンドポイントは
TLSで保護
• すべての接続はデバイスから開始

20. • アクセス制御ポリシーを使用して、IoT Hubの
エンドポイントへのアクセスを許可
セキュリティトークン アクセス許可
デバイスキーから生成 デバイス向けエンドポイント
接続のみ
共有アクセスポリシーから生成 指定された共有ポリシーに従う

21. アクセス制御ポリシー 説明
Register ID レジストリへの読み取りアクセス権を許可
RegistryReadWrite ID レジストリへの読み取りと書き込みのアクセスを許可
DeviceConnect デバイス向けの通信エンドポイントへのアクセスを許可
ServiceConnect 通信エンドポイントと監視エンドポイントへのアクセスを許可
共有アクセスポリシー アクセス制御ポリシー
iothubowner RegistryReadWrite, ServiceConnect, DeviceConnect
service ServiceConnect
device DeviceConnect
registryRead Register
registryReadWrite RegistryReadWrite
(追加での作成も可)

22. Microsoft Tech Summit

23. • IDレジストリに対するデバイスの登録
• 使用するクラス
• Microsoft.Azure.Devices.RegistryManager
• 登録時に、認証方式を指定
• セキュリティトークンを使用する場合は、デバイスキーを
自動的に生成
• X.509証明書を使用する場合は、拇印を登録

24. // RegistryManagerを生成
RegistryManager registryManager =
RegistryManager.CreateFromConnectionString(“<IoT Hubへの接続文字列>”);
// デバイスの登録
var device = new Device (“<デバイスID>”);
device = await registryManager.AddDeviceAsync(device);

25. // RegistryManagerを生成
RegistryManager registryManager =
RegistryManager.CreateFromConnectionString(“<IoT Hubへの接続文字列>”);
// デバイスの登録
var device = new Device (“<デバイスID>”) {
Authentication = new AuthenticationMechanism()
{
// 拇印の指定
X509Thumbprint = new X509Thumbprint()
{
PrimaryThumbprint = “<X.509証明書の拇印>"
}
}
};
device = await registryManager.AddDeviceAsync(device);

26. SharedAccessSignature sr={URL-encoded-resourceURI}
&se={expiry}&{signature}&skn={policyName}
値 説明
{URL-encoded-resourceURI} 小文字のリソース URI の小文字の URL エンコード
デバイスから接続する場合は、
<IoT Hubホスト名>/devices/<デバイスID>
{expiry} 1970 年 1 月 1 日の 00 時 00 分 00 秒 UTC からのエポック
秒で表される 有効期間
{signature} base64でデコードされたキーから生成されたHMAC-SHA256
署名文字列
(形式: {URL-encoded-resourceURI} + "¥n" + expiry)
{policyName} 共有アクセス ポリシーの名前
(デバイスとレジストリの資格情報を参照するトークンの場合は
存在しません)

27. SharedAccessSignature
sr=tshub-east.azure-devices.net%2Fdevices%2Fdevice1&
se=1477465174
sig=1zwu7NqIz5GK30lePfLuHflkZ4eoRoYLgn95qJISoNk%3D&
skn=device
• IoTホスト名：tshub-east.azure-devices.net
• デバイスID：device1
• 有効期間：2016/10/21から5日間
• 共有アクセスポリシー：device

28. Microsoft Tech Summit

30. • IoT Hubへのアクセス
• アクセス時に使用する認証情報生成
• セキュリティトークンの生成

31. // SASトークンの生成
var sasToken = new SharedAccessSignatureBuilder()
{
KeyName = <共有アクセスポリシー名>,
Key = <共有アクセスポリシーのアクセスキー>,
Target = <IoT Hubホスト名> + “/devices/” + <デバイスID>,
TimeToLive = TimeSpan.FromDays(Convert.ToDouble(<有効期間>))
}.ToSignature();
// SASトークンを使用して、HTTPプロトコルで接続するDeviceClientインスタンスを作成
var authMethod = new DeviceAuthenticationWithToken(<デバイスID>, sasToken);
var deviceClient
= DeviceClient.Create(<IoT Hubホスト名>, authMethod, TransportType.Http1);

32. • IoT Hubへのアクセス
• アクセス時に使用する認証情報の生成
DeviceAuthenticatio
nWithX509Certificate

33. // X.509証明書を使用して、HTTPプロトコルで接続するDeviceClientインスタンスを作成
var x509Certificate = new X509Certificate2(<X.509証明書へのパス>);
var authMethod
= new DeviceAuthenticationWithX509Certificate(<デバイスID>, x509Certificate);
var deviceClient
= DeviceClient.Create(<IoT Hubホスト名>, authMethod, TransportType.Http1);

34. Microsoft Tech Summit

36. IoTシステムをセキュアにするための
• Azureの観点
• 実装方法
をご理解いただきました
本セッションの内容を、皆様のビジネスに
ご活用ください

37. Microsoft Tech Summit

38. • IoTデベロッパーセンター
https://azure.microsoft.com/ja-jp/develop/iot/
• IoT Hubドキュメント
https://azure.microsoft.com/ja-jp/documentation/services/iot-hub/
• IoT Hubチュートリアル
https://azure.microsoft.com/ja-jp/documentation/articles/
iot-hub-csharp-csharp-getstarted/
• IoT Hub SDK
https://github.com/Azure/azure-iot-sdks
• IoT Hub Device Explorer
https://github.com/Azure/azure-iot-sdks/tree/master/tools/
DeviceExplorer