无需管理独立凭据，将MQTT客户端连接至Azure Event Grid

一、SAS令牌动态生成认证 #

• 基于Event Grid命名空间或MQTT主题的共享访问密钥（SAS密钥），为每个客户端动态生成唯一的SAS令牌。
• 令牌中可指定Client ID、过期时间、连接权限（发布/订阅）等参数，每个客户端使用专属令牌连接，无需在Azure手动创建身份。
• 生成逻辑：用Azure SDK或自定义代码，结合根SAS密钥、目标资源、Client ID和有效期计算签名，生成格式为SharedAccessSignature sr={resource}&sig={signature}&se={expiry}&skn={keyName}&clientId={clientId}的令牌，客户端将该令牌作为密码，用户名留空或指定固定标识即可连接。

二、X.509证书批量认证 #

• 在Event Grid命名空间中上传根CA或中间CA证书，启用证书认证模式。
• 所有由该CA签发的客户端证书（每个客户端持有唯一证书），连接时无需在Azure单独注册身份，只要证书链有效、未过期，即可通过认证。
• 适合大规模客户端场景，只需维护CA证书的生命周期，无需逐个管理客户端身份。

三、Azure AD集成与自定义身份验证 #

• 配置Event Grid MQTT代理使用Azure AD身份验证，客户端通过Azure AD获取访问令牌后，用令牌连接代理。
• 若需要更灵活的规则，可启用Event Grid的自定义身份验证钩子，通过自定义API验证客户端提交的令牌（如内部系统的身份令牌），验证通过后允许连接，无需在Azure预注册客户端。

关于共享用户名问题的补充说明 #

你之前遇到的配额限制，是因为同一身份（用户名）的并发会话数受Azure默认限制，提升会话限制可临时解决，但单个身份的配额仍有上限，且无法对不同客户端做细粒度权限控制。上述方案从身份认证架构层面解决批量接入问题，同时支持权限细分和安全管控。

内容的提问来源于stack exchange，提问作者EssenceBlue