AWS IoT证书终端无法查询，ESP8266 MQTT连接失败求助

一、先修复CLI证书查询异常（核心根源） #

• 严格对齐CLI与控制台的区域
  控制台右上角显示的区域代码（比如us-east-1）必须和CLI配置的区域完全一致。执行aws configure get region查看当前CLI区域，不一致就用aws configure set region <控制台区域代码>修正。
• 检查IAM权限
  确保使用的IAM用户/SSO角色拥有iot:DescribeCertificate和iot:ListCertificates权限。可以临时给该用户/角色附加AWSIoTFullAccess策略测试（生产环境建议配置最小权限）。
• 核对证书ID与状态
  从控制台复制证书ID时别带多余空格或字符，同时确认证书状态是激活状态（控制台证书页面可查看）。

二、解决ESP8266 MQTT错误码-2问题 #

错误码-2本质是证书验证失败或设备不信任AWS根证书，结合CLI的证书问题，按以下步骤排查：

• 替换设备端证书文件
  重新从控制台下载对应证书（certificate.pem.crt）、私钥（private.pem.key）和Amazon Root CA 1根证书，替换ESP8266代码里的对应内容，确保没有换行或字符缺失。
• 确认MQTT端点正确性
  从AWS IoT控制台>设置页面复制自定义MQTT端点，代码里必须用这个端点，不能用通用端点。
• 验证IoT策略配置
  证书关联的策略必须包含设备连接、收发消息的权限，示例策略如下（按需调整资源范围）：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "iot:Connect",
          "iot:Publish",
          "iot:Subscribe",
          "iot:Receive"
        ],
        "Resource": [
          "arn:aws:iot:<区域代码>:<账户ID>:client/<你的设备名称>",
          "arn:aws:iot:<区域代码>:<账户ID>:topic/<你的主题>"
        ]
      }
    ]
  }
  

• 同步设备系统时间
  ESP8266需要正确时间才能通过TLS验证，代码里加入NTP时间同步逻辑，比如调用configTime()函数同步时间。

三、最终验证 #

1. 修复CLI问题后，重新执行aws iot list-certificates，确认能看到目标证书。
2. 用aws iot describe-certificate --certificate-id <证书ID>验证证书详情，确认状态激活且关联了正确的策略和设备。
3. 重新上传ESP8266代码，查看串口日志，确认MQTT连接成功。

内容的提问来源于stack exchange，提问作者Roshan Poudel