Windows 10 IoT Enterprise下UWP应用TPM+Azure DPS注册异常求助及配置咨询

问题背景 #

运行在Windows 10 IoT Enterprise审核模式下的UWP后台应用，调用ProvisioningDeviceClient.RegisterAsync()时抛出ProvisioningTransportException（AMQP传输异常），但相同代码与DPS配置在Windows 10 IoT Core上可正常运行，需排查IoT Enterprise的专属设置与TPM配置问题。

Windows 10 IoT Enterprise的TPM专属设置 #

• 确保TPM服务正常运行：IoT Enterprise默认可能禁用TPM服务，需将Trusted Platform Module (TPM)服务（tpmscmgr）设为自动启动并运行：

  sc config tpmscmgr start= auto
  sc start tpmscmgr
  

• 添加UWP应用TPM权限：在Package.appxmanifest中声明TPM访问能力：

  <Capabilities>
    <DeviceCapability Name="trustedPlatformModule" />
  </Capabilities>
  

• 调整审核模式下的权限：审核模式系统权限限制更严格，需通过本地组策略编辑器，将应用运行用户添加到计算机配置>Windows设置>安全设置>本地策略>用户权限分配>修改固件环境值权限组。
• 验证TPM硬件状态：通过tpm.msc打开TPM管理控制台，确认TPM已启用、激活且未锁定，版本需为2.0及以上（符合Azure DPS要求）。

AMQP传输异常排查要点 #

• 检查网络连通性：确认设备可访问Azure DPS全球端点，测试AMQP端口（5671）连通性：

  Test-NetConnection global.azure-devices-provisioning.net -Port 5671
  

  若不通，需调整防火墙或组策略，开放5671、5672端口的出站访问权限。
• 强制启用TLS 1.2：Azure DPS要求TLS 1.2及以上，通过注册表配置强制启用：
  1. 打开注册表编辑器，定位到HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
  2. 设置Enabled值为DWORD: 1，DisabledByDefault值为DWORD: 0
• 调整传输层配置：优先使用TCP模式的AMQP传输，避免WebSocket模式（IoT Enterprise下可能有额外权限限制）：

  var transport = new ProvisioningTransportHandlerAmqp(TransportFallbackType.TcpOnly);
  

代码与DPS注册项验证 #

• 确认TPM安全实例正确性：检查代码中SecurityProviderTpmHsm获取的背书密钥（EK）与DPS单个注册项中填写的EK一致：

  var security = new SecurityProviderTpmHsm(registrationId);
  string ek = Convert.ToBase64String(security.GetEndorsementKey());
  // 打印EK并与DPS注册项对比
  

• 核对DPS注册项配置：确保注册项认证类型为TPM，设备ID与代码中DeviceId一致，未启用额外的设备验证限制。

内容的提问来源于stack exchange，提问作者Preksha Butani