2. 设备身份与生命周期管理

在IoT Fleet安全运营中，设备身份不是一次性配置项，而是一条贯穿设备全生命周期的信任主线。设备从产线下线到最终退役，会经历标识分配、证书签发、首次注册、激活上线、密钥轮换、异常吊销和资产退役等多个阶段。任何一个阶段的身份状态失控，都会导致“合法设备被拒绝”或“非法设备被信任”两类严重后果。本节围绕这条主线，说明每个阶段应做什么、关键参数如何设置，以及如何判断操作是否成功。

一、设备唯一标识：身份的根

设备唯一标识是后续所有安全操作的索引键。工程上通常采用分层标识：硬件信任根标识（如芯片UID或安全元件序列号）、业务设备ID（如dev-3f9a-0001）和证书主题标识（如CN=dev-3f9a-0001,O=FleetA）。三者必须建立可审计的映射关系，且业务设备ID一旦分配不应复用。示例命名规则可采用产品线-批次-序号，例如GW-A-2024-000137，便于在证书吊销时快速定位同批次风险设备。

需要特别注意的是，标识本身不等于身份凭证。设备ID可以公开出现在日志和资产表中，但私钥和证书必须受硬件保护。若把设备ID当作认证口令使用，攻击者只需枚举ID即可伪造设备。

二、证书签发与注册激活

证书签发通常由内部CA或云平台设备CA完成。签发前应校验设备的硬件信任根，确保私钥在安全元件内生成、永不导出。签发参数示例：密钥算法ECDSA P-256，证书有效期365天，扩展密钥用法为clientAuth，并写入设备ID作为SAN或CN。签发完成后，设备首次连接注册服务，提交证书并请求激活。

注册与激活应分离：注册只建立“设备存在”的记录，激活才授予“可通信”的权限。激活时平台可下发初始配置、订阅主题白名单和策略版本。判断激活成功的依据不是“收到响应”，而是设备能用证书完成一次双向TLS握手，并在平台侧看到该设备状态由registered变为active。

三、证书轮换：不能等到过期才做

证书轮换的目标是让设备在旧证书失效前平滑切换到新证书。推荐采用“双证书重叠”策略：在旧证书到期前30天签发新证书，设备同时持有新旧两份，平台在宽限期内接受两者，待设备确认新证书可用后再撤销旧证书。轮换触发方式可以是平台下发rotate指令，也可以是设备根据证书剩余有效期自主发起。

判断轮换是否成功，不能只看“新证书已下载”。应检查：设备用新证书完成一次业务上报；平台侧证书指纹已更新；旧证书在宽限期结束后握手失败。若设备在宽限期内始终未使用新证书，应产生告警，避免出现“证书已换但设备仍用旧证书”的静默失败。

四、吊销与退役：信任的收回

吊销适用于设备丢失、私钥泄露、固件被篡改或设备被替换等场景。吊销操作应同时完成三件事：将证书序列号写入CRL或OCSP；在平台侧将设备状态置为revoked；阻断该设备ID的新连接和消息发布权限。吊销后仍需保留设备历史记录，用于取证和影响面分析。

退役与吊销不同。退役是设备正常下线，应执行：撤销未过期证书、删除平台侧密钥材料、将资产状态置为retired、保留审计日志。若设备后续可能重新入网，应重新走注册激活流程，而不是复用旧证书。退役设备若仍持有有效私钥，一旦被物理获取，仍可能被用于伪造身份，因此退役时必须确保私钥不可恢复。

五、运营要点与常见误区

第一，标识、证书、资产记录必须三账一致。建议每日对账：平台在线设备数、CA有效证书数、资产表active记录数应基本吻合，偏差超过阈值即触发排查。第二，证书有效期不宜过长，建议不超过365天，高安全场景可缩短至90天并配合自动轮换。第三，吊销列表需要被边缘网关和消息代理实际加载，否则吊销只是“数据库里的状态”。第四，退役流程必须包含私钥销毁确认，不能只删除平台记录。

常见误区包括：用设备ID作为认证凭据；证书签发后从不轮换；吊销后未同步到接入层；退役设备证书未撤销。这些问题的共同后果是身份信任链断裂，使攻击者能够以合法设备身份长期潜伏。把标识、签发、注册、激活、轮换、吊销、退役七个环节串成可审计的闭环，才是设备身份安全运营的完整方法。