华为云用户手册

概述 证书策略，即通过平台认证设备的设备CA证书匹配的发放策略。每条证书策略实例指：匹配上该策略实例的设备，将会被发放到该策略实例关联的设备接入实例的对应资源空间（即应用）下。 设备匹配证书策略实例的机制为： 设备的发放策略指定为“证书策略”时，其认证方式也必须为X.509证书认证且同时指定了认证设备的设备CA证书，当设备关联的设备CA证书与证书策略实例关联的证书为同一个证书时，即被认为该设备匹配上该条策略实例； 一个设备最多匹配一条证书策略实例；一个CA证书最多被一条证书策略关联。

操作步骤 进入“策略”界面，单击展开“证书策略”，单击“添加实例”。 图1 添加证书策略 按照下方参数说明填写关键参数信息后，单击“确定”。 表1 证书策略参数列表 参数名称 说明 示例 证书名称 即所要根据证书属性将设备发放到指定的目标区域，选择对应的证书。 将需要通过证书“certificates”发放的设备发放至华北-北京四的 物联网平台 。 需通过证书“certificates”发放的设备：WaterMeter-Beijing0001、WaterMeter-Beijing0002 证书名称：certificates 发放区域：华北-北京四 发放应用：beijing-app1 发放区域 发放到指定区域后，设备将接入对应区域的 设备接入服务 。 所选区域未开通设备接入服务时，如果确定添加实例，系统将自动为您开通设备接入服务。不同区域设备接入服务价格不同，收费详情请参考价格说明。 发放应用 选择对应设备接入服务区域已创建的应用。在物联网平台中，设备由应用统一管理。 如果对应设备接入服务区域未创建应用，需要前往对应服务创建应用。

生成设备证书 使用OpenSSL工具为设备证书生成密钥对（设备私钥）： openssl genrsa -out deviceCert.key 2048 使用设备密钥对，生成证书签名请求文件： openssl req -new -key deviceCert.key -out deviceCert.csr 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表2所示。 表3 证书签名请求文件参数说明 提示 参数名称 取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / 使用CA证书、CA证书私钥和 CS R文件创建设备证书（deviceCert.crt）。 openssl x509 -req -in deviceCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 36500 -sha256 生成设备证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件，且需要完成“上传并验证CA证书”。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整。

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。 本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。 下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。 打开 MQTT.fx 客户端程序，单击“设置”。 填写 Connection Profile 相关信息和 General 信息。其中General 信息可以用工具默认的参数配置。 填写 User Credentials 信息。 其中Username 参考MQTT CONNECT连接鉴权参数说明（无需填写Password）。 注：注册组的场景不存在选择产品，所以命名需要注意：如果命名字符串有“_”，那么第一项必须为对应设备接入已经存在的产品ID，如果不包括“_”，那么可以随意命名。 选择开启 SSL/TLS，勾选Self signed certificates，配置相关证书内容。 CA File为设备发放对应的CA证书。 Client Certificate File为设备的设备证书。 Client Key File为设备的私钥。 完成以上步骤后，单击“Apply”和“OK”保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

制作CA证书 在浏览器中访问这里，下载并进行安装OpenSSL工具，安装完成后配置环境变量。 在 D:\certificates 文件夹下，以管理员身份运行cmd命令行窗口。 生成密钥对（rootCA.key）： 生成“密钥对”时输入的密码在生成“证书签名请求文件”、“CA证书”，“验证证书”以及“设备证书”时需要用到，请妥善保存。 openssl genrsa -des3 -out rootCA.key 2048 使用密钥对生成证书签名请求文件： 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1 所示。 表2 证书签名请求文件参数说明 提示 参数名称 取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / openssl req -new -key rootCA.key -out rootCA.csr 生成CA证书（rootCA.crt）： openssl x509 -req -days 50000 -in rootCA.csr -signkey rootCA.key -out rootCA.crt “-days”后的参数值指定了该证书的有效天数，此处示例为50000天，您可根据实际业务场景和需要进行调整。

上传并验证CA证书 登录设备发放控制台，进入“证书”界面，单击右上角“上传CA证书”，填写“证书名称”并上传上述“制作CA证书”步骤后生成的“CA证书（rootCA.crt文件）”，单击“确定”。 图1 上传CA证书 验证步骤1中上传的CA证书，只有成功验证证书后该证书方可使用。 为验证证书生成密钥对。 openssl genrsa -out verificationCert.key 2048 获取随机验证码。 图2 上传CA证书完成页 图3 复制验证码 利用此验证码生成证书签名请求文件CSR。 openssl req -new -key verificationCert.key -out verificationCert.csr CSR文件的Common Name (e.g. server FQDN or YOUR name) 需要填写前一过程中获取到的随机验证码。 使用CA证书、CA证书私钥和CSR文件创建验证证书（verificationCert.crt）。 openssl x509 -req -in verificationCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out verificationCert.crt -days 500 -sha256 生成验证证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件。 “-days”后的参数值指定了该证书的有效天数，此处示例为500天，您可根据实际业务场景和需要进行调整。 上传验证证书进行验证。 图4 上传验证证书

新增注册组 创建注册组。 图2 新增注册组 注册组密钥为长度在”32~128“字节的字节码。在创建密钥注册组时，返回的注册组密钥为“base64编码后的注册组密钥字符串”。 若不指定注册组密钥，则注册组密钥由设备发放服务生成。 若指定注册组密钥，在创建中注册组时需在密钥输入框内填写“指定字节码Base64编码后生成的字符串”。 图3 创建密钥注册组 如果需要下发初始化配置，那么对应在初始设备配置选项中填写对应的JSON字符串，设备发放不理解该字段，只是透传该JSON字符串，由设备理解解析。如果不需要下发该字段则不填 创建完成后会返回注册组密钥，单击复制保存注册组密钥。 图4 创建密钥注册组响应

生成设备证书 使用OpenSSL工具为设备证书生成密钥对（设备私钥）： openssl genrsa -out deviceCert.key 2048 使用设备密钥对，生成证书签名请求文件： openssl req -new -key deviceCert.key -out deviceCert.csr 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表2所示。 表3 证书签名请求文件参数说明 提示 参数名称 取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / 使用CA证书、CA证书私钥和CSR文件创建设备证书（deviceCert.crt）。 openssl x509 -req -in deviceCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 36500 -sha256 生成设备证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件，且需要完成“上传并验证CA证书”。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整。

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。 本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。 下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。 打开 MQTT.fx 客户端程序，单击“设置”。 填写 Connection Profile 相关信息。其中General 可以使用工具默认信息。 其中Broker Address和Broker Port可以参考获取终端节点，Client ID 可以参考MQTT CONNECT连接鉴权参数说明，访问这里填写设备ID（DeviceId）等设备信息，生成连接信息（ClientId、Username、Password）。 填写 User Credentials 信息。 其中Username 参考MQTT CONNECT连接鉴权参数说明（无需填写Password）。 选择开启 SSL/TLS，勾选 Self signed certificates，配置相关证书内容。 CA File为设备发放对应的CA证书。 Client Certificate File为设备的设备证书。 Client Key File为设备的私钥。 完成以上步骤设置后，单击“Apply”和“OK”保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

制作CA证书 在浏览器中访问这里，下载并进行安装OpenSSL工具，安装完成后配置环境变量。 在 D:\certificates 文件夹下，以管理员身份运行cmd命令行窗口。 生成密钥对（rootCA.key）： 生成“密钥对”时输入的密码在生成“证书签名请求文件”、“CA证书”，“验证证书”以及“设备证书”时需要用到，请妥善保存。 openssl genrsa -des3 -out rootCA.key 2048 使用密钥对生成证书签名请求文件： 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1 所示。 表2 证书签名请求文件参数说明 提示 参数名称 取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / openssl req -new -key rootCA.key -out rootCA.csr 生成CA证书（rootCA.crt）： openssl x509 -req -days 50000 -in rootCA.csr -signkey rootCA.key -out rootCA.crt “-days”后的参数值指定了该证书的有效天数，此处示例为50000天，您可根据实际业务场景和需要进行调整。

上传并验证CA证书 登录设备发放控制台，进入“证书”界面，单击右上角“上传CA证书”，填写“证书名称”并上传上述“制作CA证书”步骤后生成的“CA证书（rootCA.crt文件）”，单击“确定”。 图1 上传CA证书 验证步骤1中上传的CA证书，只有成功验证证书后该证书方可使用。 为验证证书生成密钥对。 openssl genrsa -out verificationCert.key 2048 获取随机验证码。 图2 上传CA证书完成页 图3 复制验证码 利用此验证码生成证书签名请求文件CSR。 openssl req -new -key verificationCert.key -out verificationCert.csr CSR文件的Common Name (e.g. server FQDN or YOUR name) 需要填写前一过程中获取到的随机验证码。 使用CA证书、CA证书私钥和CSR文件创建验证证书（verificationCert.crt）。 openssl x509 -req -in verificationCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out verificationCert.crt -days 500 -sha256 生成验证证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件。 “-days”后的参数值指定了该证书的有效天数，此处示例为500天，您可根据实际业务场景和需要进行调整。 上传验证证书进行验证。 图4 上传验证证书

签发设备证书 使用OpenSSL工具为设备证书生成密钥对，即”设备证书（客户端证书）私钥”。 openssl genrsa -out deviceCert.key 2048 使用密钥对生成证书签名请求文件： openssl req -new -key deviceCert.key -out deviceCert.csr 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1所示。 表2 证书签名请求文件参数列表 提示 参数名称 取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / 使用CA证书、CA证书私钥和上一步骤中生成的CSR文件创建设备证书（deviceCert.crt）。 openssl x509 -req -in deviceCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 36500 -sha256 生成设备证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件，且需要完成”验证CA证书”流程。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整

验证CA证书 登录设备发放控制台。 在设备发放控制台，左侧导航窗格中，选择“证书”，单击“证书列表”条目的操作栏中的“验证证书”。 图3 上传CA证书完成页 在上传验证证书页面，单击“生成验证码”，单击“复制图标”复制此CA证书的随机验证码。 图4 复制验证码 CA证书验证码有效期为一天，请及时使用验证码生成验证证书并完成验证。 验证码的生成为替换机制，即对于一个CA证书，即使此前的验证码未过期，也将被新生成的验证码替换。 使用OpenSSL工具为验证证书生成密钥对。 openssl genrsa -out verificationCert.key 2048 利用此验证码生成证书签名请求文件CSR。 openssl req -new -key verificationCert.key -out verificationCert.csr CSR文件的Common Name (e.g. server FQDN or YOUR name) 需要填写此验证码。 使用CA证书、CA证书私钥和上一步骤中生成的CSR文件创建验证证书（verificationCert.crt）。 openssl x509 -req -in verificationCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out verificationCert.crt -days 36500 -sha256 生成验证证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整。 上传验证证书进行验证。 图5 上传验证证书

制作CA证书 在浏览器中访问这里，下载并进行安装OpenSSL工具，安装完成后配置环境变量。 在 D:\certificates 文件夹下，以管理员身份运行cmd命令行窗口。 生成密钥对（rootCA.key）： 生成“密钥对”时输入的密码在生成“证书签名请求文件”、“CA证书”，“验证证书”以及“设备证书”时需要用到，请妥善保存。 openssl genrsa -des3 -out rootCA.key 2048 使用密钥对生成证书签名请求文件： 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1 所示。 表1 证书签名请求文件参数列表 提示 参数名称 取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / openssl req -new -key rootCA.key -out rootCA.csr 生成CA证书（rootCA.crt）： openssl x509 -req -days 50000 -in rootCA.csr -signkey rootCA.key -out rootCA.crt “-days”后的参数值指定了该证书的有效天数，此处示例为50000天，您可根据实际业务场景和需要进行调整。

X.509证书认证 X.509是一种用于通信实体鉴别的数字证书，物联网平台支持设备使用自己的X.509证书进行认证鉴权。使用X.509认证技术时，设备无法被仿冒，避免了密钥被泄露的风险。 使用X.509证书认证的完整操作流程为： 1. 在平台上传设备CA证书并完成验证（或使用华为云证书服务的私有CA）； 2. 创建设备或注册组时，认证方式选择X.509证书认证，并关联已认证的设备CA证书； 3. 开发设备端，将X.509证书及其私钥烧录到设备上； 4. 设备在与平台双向认证过程中，设备验证平台证书，平台使用设备CA证书验证设备证书并验证设备证书与设备的关联关系。

连接鉴权 MQTT.fx 是目前主流的MQTT桌面客户端，它支持 Windows, Mac, Linux，可以快速验证是否可以与设备发放服务进行连接并发布或订阅消息。 本文主要介绍 MQTT.fx 如何与华为设备发放交互，其中设备发放服务MQTT的南向接入地址请参考获取终端节点。 下载 MQTT.fx（默认是64位操作系统，如果是32位操作系统，单击此处下载 MQTT.fx ），安装MQTT.fx工具。 打开 MQTT.fx 客户端程序，单击“设置”。 填写 Connection Profile 相关信息和 General 信息。其中General 信息可以用工具默认的参数配置。 填写 User Credentials 信息。 其中Username 参考MQTT CONNECT连接鉴权参数说明（无需填写Password）。 注：注册组的场景不存在选择产品，所以命名需要注意：如果命名字符串有“_”，那么第一项必须为对应设备接入已经存在的产品ID，如果不包括“_”，那么可以随意命名。 选择开启 SSL/TLS，勾选Self signed certificates，配置相关证书内容。 CA File为设备发放对应的CA证书。 Client Certificate File为设备的设备证书。 Client Key File为设备的私钥。 完成以上步骤后，单击“Apply”和“OK”保存，并在配置文件框中选择刚才创建的文件名，单击“Connect”，当右上角圆形图标为绿色时，说明连接设备发放服务成功，可进行订阅（Subscribe）和消息推送（Publish）操作。

上传并验证CA证书 登录设备发放控制台，进入“证书”界面，单击右上角“上传CA证书”，填写“证书名称”并上传上述“制作CA证书”步骤后生成的“CA证书（rootCA.crt文件）”，单击“确定”。 图1 上传CA证书 验证步骤1中上传的CA证书，只有成功验证证书后该证书方可使用。 为验证证书生成密钥对。 openssl genrsa -out verificationCert.key 2048 获取随机验证码。 图2 上传CA证书完成页 图3 复制验证码 利用此验证码生成证书签名请求文件CSR。 openssl req -new -key verificationCert.key -out verificationCert.csr CSR文件的Common Name (e.g. server FQDN or YOUR name) 需要填写前一过程中获取到的随机验证码。 使用CA证书、CA证书私钥和CSR文件创建验证证书（verificationCert.crt）。 openssl x509 -req -in verificationCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out verificationCert.crt -days 500 -sha256 生成验证证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件。 “-days”后的参数值指定了该证书的有效天数，此处示例为500天，您可根据实际业务场景和需要进行调整。 上传验证证书进行验证。 图4 上传验证证书

生成设备证书 使用OpenSSL工具为设备证书生成密钥对（设备私钥）： openssl genrsa -out deviceCert.key 2048 使用设备密钥对，生成证书签名请求文件： openssl req -new -key deviceCert.key -out deviceCert.csr 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表2所示。 表3 证书签名请求文件参数说明 提示 参数名称 取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / 使用CA证书、CA证书私钥和CSR文件创建设备证书（deviceCert.crt）。 openssl x509 -req -in deviceCert.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out deviceCert.crt -days 36500 -sha256 生成设备证书用到的“rootCA.crt”和“rootCA.key”这两个文件，为“制作CA证书”中所生成的两个文件，且需要完成“上传并验证CA证书”。 “-days”后的参数值指定了该证书的有效天数，此处示例为36500天，您可根据实际业务场景和需要进行调整。

制作CA证书 在浏览器中访问这里，下载并进行安装OpenSSL工具，安装完成后配置环境变量。 在 D:\certificates 文件夹下，以管理员身份运行cmd命令行窗口。 生成密钥对（rootCA.key）： 生成“密钥对”时输入的密码在生成“证书签名请求文件”、“CA证书”，“验证证书”以及“设备证书”时需要用到，请妥善保存。 openssl genrsa -des3 -out rootCA.key 2048 使用密钥对生成证书签名请求文件： 生成证书签名请求文件时，要求填写证书唯一标识名称（Distinguished Name，DN）信息，参数说明如下表1 所示。 表2 证书签名请求文件参数说明 提示 参数名称 取值样例 Country Name (2 letter code) []: 国家/地区 CN State or Province Name (full name) []: 省/市 GuangDong Locality Name (eg, city) []: 城市 ShenZhen Organization Name (eg, company) []: 组织机构（或公司名） Huawei Technologies Co., Ltd. Organizational Unit Name (eg, section) []: 机构部门 Cloud Dept. Common Name (eg, fully qualified host name) []: CA名称（CN） Huawei IoTDP CA Email Address []: 邮箱地址 / A challenge password []: 证书密码，如您不设置密码，可以直接回车 / An optional company name []: 可选公司名称，如您不设置，可以直接回车 / openssl req -new -key rootCA.key -out rootCA.csr 生成CA证书（rootCA.crt）： openssl x509 -req -days 50000 -in rootCA.csr -signkey rootCA.key -out rootCA.crt “-days”后的参数值指定了该证书的有效天数，此处示例为50000天，您可根据实际业务场景和需要进行调整。

使用限制 设备发放服务具有以下使用限制。 表1 设备发放服务使用限制列表 对象 类别/描述 限制 设备 集成Agent Lite的设备（MQTT） 不支持 原生MQTT协议设备 支持，设备需要开发设备引导接口，具备设备发放能力。 集成LiteOS的设备（LwM2M） 支持 证书 数字证书保证系统内各服务及系统与外部通信的安全性，防止通信数据在传输过程被篡改造成安全风险。 100 策略 自定义策略最多可添加的实例数 10 静态策略最多可添加的实例数 20 证书策略最多可添加的实例数 20 父主题： 产品介绍

注册设备 本文介绍集成NB模组设备的注册方法。 在产品详情页面，选择“在线调试”，单击“新增测试设备”，此处新增的是非安全的NB-IoT设备。 在新增测试设备页面，选择“真实设备”，完成设备参数的填写后，单击“确定”。 图17 在线调试-新增测试设备 设备名称：自定义。 设备标识码：设备的IMEI号，用于设备在接入物联网平台时携带该标识信息完成接入鉴权，可在NB模组上查看。您也可以将拨测开关拨到AT-PC模式，选择STM的端口，波特率设置为9600，输入指令“AT+CGSN=1”获取IMEI号。 注：获取IMEI注册完设备后，需要将开发板的拨测开关拨到“AT-MCU”模式，因为开发板在MCU模式下才会通过NB卡连接网络。 设备注册方式：不加密。 设备创建成功，可在页面看到创建的设备。

使用AT指令定位模组通信问题 IoT Link在与物联网平台连接使用时，可使用AT指令快速定位模组与云端连通性问题，提高开发效率。本节将以“小熊派开发板”为例，介绍如何使用AT指令检测通信模组常见问题，如设备无法上线，数据上报不成功等。 小熊派开发板和电脑已正常连接（确保驱动已安装），并将开发板右上角的拨测开关切换到AT-PC模式。 单击VSCode底部工具栏的“Serial”。 选择4.b中查看的端口号，波特率设置为9600，然后单击“打开”。 输入“AT+CGATT?”，然后单击“发送”，若返回“+CGATT:1”，表示网络附着成功（附着成功代表NB-IoT联网正常），返回“+CGATT:0”表示网络附着失败（附着失败代表NB-IoT联网异常），请查看SIM卡是否插入正确，或联系运营商检查网络状态。 使用AT指令检测完模组通信后，请将拨测开关拨到AT-MCU模式，以便完成控制台的开发后，将采集到的传感器数据通过通信模组发送到平台。 PC模式是开发板与电脑串口通信，AT指令读写开发板的状态等数据；MCU模式是开发板通过模组上插的SIM连接网络，实现NB-IoT通信。

创建产品 某一类具有相同能力或特征的设备的集合称为一款产品。除了设备实体，产品还包含该类设备在物联网能力建设中产生的产品信息、产品模型（Product Model）、插件等资源。 登录管理控制台，选择您的实例，单击实例卡片进入。单击左侧导航栏“产品”，单击页面左侧的“创建产品”。 图10 产品-创建产品 创建一个协议类型为LwM2M/CoAP协议、设备类型为SmokeSensors的产品，参考页面提示填写参数后，单击“确定”。 图11 创建产品-CoAP

编译并烧录代码 由于提供的demo样例中已配置好和华为云物联网平台的对接信息，您可以直接编译（代码不用做任何修改），并烧录到小熊派开发板MCU，节省开发时间。 单击VSCode底部工具栏的“Build”，等待系统编译完成。编译成功后，界面显示“编译成功”。 使用USB数据线，将小熊派开发与电脑连接，开发板右上角的拨测开关拨到右侧“AT-MCU模式”。 单击VSCode底部工具栏的“Download”，等待系统烧录完成。烧录成功后，界面显示“烧录成功”。 如果显示烧录失败，可能是开发板没有驱动导致与电脑无法串口通信，请参考2检查ST-Link驱动是否安装成功，如果驱动未安装，则参考这里下载并安装ST-Link驱动。 （可选）安装ST-Link驱动。 访问ST官网，下载ST-Link驱动，双击stlink_winusb_install.bat文件进行自动安装。（本文以Windows10-64bit ST-Link 2.0.1为例）。 注：您也可以使用适配您系统版本的exe文件进行安装。 打开PC设备管理器可查看对应的驱动是否安装成功。若下图所示，表明驱动安装成功。

配置IoT link Studio工程 单击VSCode底部工具栏的“Home”。 Home：管理IoT Link工程； Serial：输入AT指令检查开发板状态； Build：编译示例代码（步骤3后可见）； Download：把编译后的代码烧录到MCU（步骤3后可见）。 配置交叉编译工具链。在弹出界面中单击“IoT Link设置”，选择工具链，若GCC工具目录或文件不存在，单击下载安装。 图8 IoT Link设置 图9 交叉编译工具链 小熊派STM32431下载的编译工具链版本为win32.zip。 在弹出界面中单击“创建 IoT 工程”，输入工程名称，工程目录，并选择开发板的硬件平台和示例工程模板。 工程名称：自定义，如Smoke。 工程目录：可以使用工具安装的默认路径，也可以选择系统盘以外的其他盘，如D:\。 硬件平台：当前提供的demo只适配STM32L431_BearPI硬件平台，请选择STM32L431_BearPI。 示例工程：本示例中，我们以智慧烟感为例，请选择oc_smoke_template demo，否则烧录的demo样例和在控制台定义的产品模型不匹配，无法上报数据。单击“确定”，导入完成。 单击“确定”，导入完成。

定义产品模型 在产品详情，“基本信息”页面，单击“自定义模型”，配置产品的服务。具体创建方法可见： 产品模型设计思路： 表1 设备服务列表 服务类型（ServiceID） 服务描述 Smoke 实时检测烟雾状况 服务能力如表2、表3所示。 表2 Smoke 能力描述 属性名称 数据类型 数据范围 属性列表 Smoke value int 0 ~ 65535 表3 Smoke命令列表 能力描述 命令名称 命令字段 字段名称 类型 数据长度 枚举 命令列表 Smoke control beep 下发命令 beep string 3 ON、OFF 响应命令 beep_state int / /

安装IoT Link Studio插件 IoT Link Studio是针对IoT物联网端侧开发的IDE环境，提供了编译、烧录、调试等一站式开发体验，支持 C、 C++、汇编等多种开发语言，让您快速、高效地进行物联网开发。 以win10为例，获取电脑的系统配置：在运行窗口中输入pc，然后单击“属性”，查看系统配置，因为后续安装软件要选择操作系统。 图3 获取系统配置 访问 这里 ，根据您电脑系统配置，下载匹配的Visual Studio Code并安装。（本文以windows 10 64-bit系统Visual Studio Code为例。请下载1.49版本，其他版本不支持IoT Link）。 图4 下载Visual Studio Code 注：Visual Studio Code不支持苹果Mac系统。 安装成功后，打开VSCode 插件应用商店，搜索 IoT Link 找到IoT Link，然后单击安装。 图5 安装 首次启动配置。 IoT Link Studio 首次启动时会自动从网络下载最新的SDK包以及gcc依赖环境，请确保您的网络可用。安装过程中请不要关闭窗口，耐心等待。安装完成后重启VSCode使插件生效。 若您的网络需要配置代理，请在VSCode主页，选择左下角-设置-应用程序-代理服务器，在Proxy Support下拉框中选择“on”。 假如下载SDK包及gcc依赖环境失败，请手动下载SDK包，放到C:\Users\${用户名}\.iotlink\sdk目录下,文件名修改为IoT_LINK。放置完后，重新打开VSCode即可。目录格式如下图： 图6 SDK下载失败 图7 SDK存放目录

小熊派开发板简介 开发板在物联网系统架构中属于感知设备，该类设备通常由传感器、通信模组、芯片以及操作系统组成。为增加开发板的可扩展性，小熊派开发板没有采用传统的板载设计，而是使用了可更换传感器扩展板以及可更换通信模组扩展板设计，通信模组是数据传输的出入口，常用的通信模组包括NB-IoT，Wifi以及4G等，芯片是设备的主控设备，该开发板内置了一个低功耗的STM32L431单片机作为主控芯片，即MCU。操作系统使用的是华为的LiteOS操作系统，其提供了丰富的端云互通组件。 为了便于开发调试，如图1所示，该开发板板载了2.1版本的ST-Link，它具有在线调试烧录，拖拽下载以及虚拟串口等功能。开发板中间板载一块分辨率为240 * 240的LCD屏幕，其主要用于显示传感器数据以及调试日志。LCD屏幕下方是主控芯片。 开发板右上角具有一个拨码开关，将其拨至左侧AT-PC模式，通过电脑端的串口助手，发送AT指令调试通信模组。右侧AT-MCU模式，通过MCU发送AT指令与通信模组进行交互，将采集到的传感器数据通过通信模组发送到云端。 图1 小熊派开发板

场景说明 近年来，火灾频发，造成很大的人员及财产损失，国家高度重视，陆续出台相关文件，明确相关要求，落实消防安全责任。同时，人民消防意识逐渐提高，独立烟感得到一定程度的普及，在防火减灾方面起到一定的作用。但由于独立烟感产品存在一定的局限，例如人不在场收不到报警信息，工作状态不能实时掌握，独立烟感没有完全解决这些问题。 NB-IoT智慧烟感解决了传统烟感器布线难、电池使用周期短、维护成本高、无法与业主及消防机构交互等缺点。智慧烟感采用无线通信，具备即插即用、无需布线、易于安装等特点。 在该文档中，我们基于华为一站式开发工具平台（VS code工具IoTlink插件），从设备（小熊派开发套件）、平台（IoTDA华为物联网平台）、端到端构建一款智慧烟感解决方案样例，带您体验十分钟快速上云。实现智慧烟感检测并上报烟雾浓度值，显示在IoTDA控制台，并在IoTDA控制台远程控制蜂鸣器开关的功能。

R40配置 在R40上需要对传感器的参数进行配置： 风速变速器相关配置： R40上电后，在自己的电脑上连接King开头的wifi，连上后在浏览器中输入地址192.168.3.1进入R40的配置界面。 输入用户名（默认为admin）和密码（默认无密码）后，单击“登录”按钮。 单击上方菜单栏“RTU I/O”，选中“模拟量接入”，进入模拟输入配置界面。 在AIN1输入一行（因为风速变速器选择的是该口）中，选择“电流4~20mA”（风速变速器的输出为该值）。并且按照传感器推荐的将最小值设置为0，最大值设置为30，单位设置为m/s。 设置完毕后，单击“保存并应用”。 通过旋转风速变速器的扇叶，然后刷新当前的配置页，可以看到“当前值”那一栏中有数据，说明已经能采集到传感器的数据。 气象多要素百叶箱相关配置： R40上电后，在自己的电脑上连接King开头的wifi，连上后在浏览器中输入地址192.168.3.1进入R40的配置界面。 输入用户名（默认为admin）和密码（默认无密码）后，单击“登录”按钮。 单击上方菜单栏“应用”，选择“Modbus”主站，进入Modbus主站配置页面。 在下方的框中填写“noise”，单击“添加”按钮。添加完成后，单击“编辑”按钮（“删除”按钮旁的那一个），进入传感器的配置界面。 在配置界面，将别名设置为“噪声监测”，从机地址设置为“2”，寄存器类型设置为“16位数据”，功能码设置为“03”，寄存器起始地址设置为“0”，数据个数设置为“1”，映射地址分配设置为“手动”，映射起始地址设置为“20004”，从机接口设置为“RS485”。 设置完毕后，单击“保存”。然后单击左下角的“返回至概况”。然后单击“保存并应用”。 单击“noise”这一行的“查询”按钮，可以看到“数据值”，如果周围噪声发生改变，可以通过刷新按钮来查看值的变化。 从机地址、寄存器类型、功能码以及寄存器起始地址可以从气象多要素百叶箱的配置文件中获取到。 映射地址为R40的寄存器地址，建议改为手动，同时设置映射地址。因为该地址跟物模型中的属性是对应的，属性名称需要设置成“REG”+ 映射起始地址。这里设置20004是因为物模型中已经设置了REG20004的属性名。 从噪声查看页单击“返回至概况”，在Modbus设置界面下方的空白框处填写“lightIntensity”，单击“添加”按钮。添加完成后，单击“编辑”按钮（“删除”按钮旁的那一个），进入传感器的配置界面。 在配置界面，将别名设置为“光照强度”，从机地址设置为“5”，寄存器类型设置为“32位数据”，功能码设置为“03”，寄存器起始地址设置为“0”，数据个数设置为“1”，映射地址分配设置为“手动”，映射起始地址设置为“20130”，从机接口设置为“RS485”。 设置完毕后，单击“保存”。然后单击左下角的“返回至概况”。然后单击“保存并应用”。 单击“lightIntensity”这一行的“查询”按钮，可以看到“数据值”，如果周围光照强度发生改变，可以通过刷新按钮来查看值的变化。 从机地址、寄存器类型、功能码以及寄存器起始地址可以从气象多要素百叶箱的配置文件中获取到。 映射地址为R40的寄存器地址，建议改为手动，同时设置映射地址。因为该地址跟物模型中的属性是对应的，属性名称需要设置成“REG”+ 映射起始地址。这里设置20130是因为物模型中已经设置了REG20130的属性名。 从光照强度查看页单击“返回至概况”，在Modbus设置界面下方的空白框处填写“shidu”，单击“添加”按钮。添加完成后，单击“编辑”按钮（“删除”按钮旁的那一个），进入传感器的配置界面。 在配置界面，将别名设置为“湿度”，从机地址设置为“1”，寄存器类型设置为“16位数据”，功能码设置为“03”，寄存器起始地址设置为“500”，数据个数设置为“1”，映射地址分配设置为“手动”，映射起始地址设置为“20015”，从机接口设置为“RS485”。 设置完毕后，单击“保存”。然后单击左下角的“返回至概况”。然后单击“保存并应用”。 单击“shidu”这一行的“查询”按钮，可以看到“数据值”，如果周围光照强度发生改变，可以通过刷新按钮来查看值的变化。 从机地址、寄存器类型、功能码以及寄存器起始地址可以从气象多要素百叶箱的配置文件中获取到。 映射地址为R40的寄存器地址，建议改为手动，同时设置映射地址。因为该地址跟物模型中的属性是对应的，属性名称需要设置成“REG”+ 映射起始地址。这里设置20115是因为物模型中已经设置了REG20115的属性名。 从湿度强度查看页单击“返回至概况”，在Modbus设置界面下方的空白框处填写“wendu”，单击“添加”按钮。添加完成后，单击“编辑”按钮（“删除”按钮旁的那一个），进入传感器的配置界面。 在配置界面，将别名设置为“温度”，从机地址设置为“1”，寄存器类型设置为“16位数据”，功能码设置为“03”，寄存器起始地址设置为“501”，数据个数设置为“1”，映射地址分配设置为“手动”，映射起始地址设置为“20003”，从机接口设置为“RS485”。 设置完毕后，单击“保存”。然后单击左下角的“返回至概况”。然后单击“保存并应用”。 单击“shidu”这一行的“查询”按钮，可以看到“数据值”，如果周围光照强度发生改变，可以通过刷新按钮来查看值的变化。 从机地址、寄存器类型、功能码以及寄存器起始地址可以从气象多要素百叶箱的配置文件中获取到。 映射地址为R40的寄存器地址，建议改为手动，同时设置映射地址。因为该地址跟物模型中的属性是对应的，属性名称需要设置成“REG”+ 映射起始地址。这里设置20003是因为物模型中已经设置了REG20003的属性名。 R40上报到平台的配置： 在上方的菜单栏中选择“云平台”，选择“华为云”。“认证方式”选择“设备密钥”，设备ID和密钥在iot平台注册所得，服务ID填写“basicData”，发布周期填写60。 配置完后，单击“保存并应用”。设置完毕后，R40会自动连上华为云iot平台，并且每隔60s报一次数据。