IoT Hub/Event Hub使用Azure Credentials/RBAC连接报错（非SAS密钥）

问题概述 #

使用SAS密钥可正常读取IoT Hub的Event Hub兼容端点事件，但通过指定TenantId的AzureCliCredentials创建EventHubConnection时，调用ReadEventsAsync抛出InvalidIssuer: Token issuer is invalid错误，已确认权限（Event Hubs Data Owner等角色）、资源配置正确，token payload包含正确租户信息。

排查与解决建议 #

1. 确认Event Hub命名空间与实体名称的正确性 #

IoT Hub的Event Hub兼容端点对应的命名空间是IoT Hub生成的专用Service Bus命名空间（格式为iothub-xxxxxx.servicebus.windows.net），实体名称（EntityPath）是你的IoT Hub名称，而非单独创建的Event Hub资源名称。

检查代码中EventHubConnection的参数：

// 正确的命名空间是IoT Hub兼容端点的Service Bus域名
string namespaceName = "iothub-xxxxxx.servicebus.windows.net";
// 实体名称是你的IoT Hub名称
string eventHubName = "your-iothub-name";

var connection = new EventHubConnection(namespaceName, eventHubName, credential);

2. 验证Azure CLI登录的租户一致性 #

即使代码中指定了TenantId，AzureCliCredential会优先使用Azure CLI当前登录的租户上下文。执行以下命令确认当前登录租户：

az account show --query tenantId -o tsv

如果返回的租户ID与代码中指定的<MyTenantId>不一致，重新登录指定租户：

az login --tenant <MyTenantId>

3. 检查角色分配的资源范围 #

确保Azure Event Hubs Data Owner/Receiver/Sender角色是分配到IoT Hub资源上，而非单独的Event Hub资源：

• 登录Azure Portal，进入你的IoT Hub
• 导航到访问控制(IAM) → 角色分配
• 确认当前用户/服务主体的角色分配范围为该IoT Hub，而非其他资源

4. 更换Credential类型测试 #

尝试使用DefaultAzureCredential替代AzureCliCredential，排除CLI上下文的问题：

var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions()
{
    TenantId = "<MyTenantId>"
});

var consumer = new EventHubConsumerClient("<MyConsumerGroup>", namespaceName, eventHubName, credential);

5. 确认Token的Issuer格式并手动指定Scope #

解码token（可使用jwt.io），检查iss字段是否为https://sts.windows.net/<MyTenantId>/格式：

• 如果iss字段不符合该格式，说明获取的token并非来自目标租户，需重新检查Azure CLI登录或Credential配置
• 若iss格式正确但仍报错，尝试手动指定认证Scope：

// 构造指定Scope的TokenCredential包装类
var scopedCredential = new TokenCredentialAdapter(credential, new[] { $"https://{namespaceName}/.default" });
var connection = new EventHubConnection(namespaceName, eventHubName, scopedCredential);

// 自定义TokenCredential包装类实现
public class TokenCredentialAdapter : TokenCredential
{
    private readonly TokenCredential _innerCredential;
    private readonly string[] _scopes;

    public TokenCredentialAdapter(TokenCredential innerCredential, string[] scopes)
    {
        _innerCredential = innerCredential;
        _scopes = scopes;
    }

    public override async ValueTask<AccessToken> GetTokenAsync(TokenRequestContext requestContext, CancellationToken cancellationToken)
    {
        return await _innerCredential.GetTokenAsync(new TokenRequestContext(_scopes), cancellationToken);
    }

    public override AccessToken GetToken(TokenRequestContext requestContext, CancellationToken cancellationToken)
    {
        return _innerCredential.GetToken(new TokenRequestContext(_scopes), cancellationToken);
    }
}

内容的提问来源于stack exchange，提问作者tridy