关于EFLOW 1.4中IoT Edge 1.4的TLS证书相关技术问询

针对你提出的关于EFLOW 1.4里IoT Edge 1.4适配Azure IoT Hub DigiCert证书的问题，我来帮你逐个解答：

1. IoT Edge 1.4 inside EFLOW 1.4是否会自动使用DigiCert Global G2根证书与IoT Hub建立TLS连接？ #

是的，IoT Edge 1.4版本已经默认包含了DigiCert Global G2根证书，EFLOW 1.4中的IoT Edge实例会自动使用该证书完成与Azure IoT Hub的TLS握手。微软在IoT Edge 1.4的更新中已经同步适配了Azure IoT Hub的证书迁移要求，无需额外配置即可默认启用。

2. 如何确认DigiCert根证书已经生效？ #

你可以通过以下几种方式验证：

• 进入EFLOW虚拟机终端检查证书存储：
  1. 在Windows主机上运行Connect-EflowVm命令进入EFLOW虚拟机的Linux终端。
  2. 查看系统信任证书目录，执行ls /etc/ssl/certs | grep DigiCert，如果能看到包含DigiCertGlobalG2RootCA.crt类似名称的文件，说明证书已存在。
• 通过OpenSSL验证TLS握手链：
  执行openssl s_client -connect <你的IoT Hub名称>.azure-devices.net:8883，在输出结果中查找Root CA相关字段，确认显示的是DigiCert Global Root G2。
• 查看IoT Edge服务日志：
  执行journalctl -u iotedge | grep "certificate"，搜索日志中是否有成功加载DigiCert根证书的相关记录。

3. 如何将企业级DigiCert证书安装到EFLOW中的IoT Edge？ #

按照以下步骤操作即可：

1. 将企业证书上传到EFLOW虚拟机：
   在Windows主机上执行Copy-EflowFile -SourcePath "本地企业证书路径（如C:\certs\my-corp-digicert.crt）" -DestinationPath "/etc/ssl/certs/" -ContainerName eflow-vm，把证书文件传到EFLOW的系统证书目录。
2. 更新系统信任证书：
   在EFLOW终端中执行update-ca-certificates命令，让系统识别新添加的证书。
3. 配置IoT Edge使用该证书：
   编辑IoT Edge的配置文件/etc/iotedge/config.yaml，找到trust_bundle配置项，将其值修改为企业证书的路径（如/etc/ssl/certs/my-corp-digicert.crt）。
4. 重启IoT Edge服务使配置生效：
   执行systemctl restart iotedge，等待服务重启完成。
5. 验证安装结果：
   可以再次使用openssl s_client命令检查TLS握手是否使用了你的企业证书，或者查看IoT Edge日志确认证书加载成功。

备注：内容来源于stack exchange，提问作者Mike Wilcox