Azure IoT Edge自定义模块连接中SAS Token一致性确认

首先明确结论：自定义模块与edgeHub之间使用的SAS Token，和edgeHub与IoTHub之间使用的SAS Token是完全不同的。

两者的核心差异： #

1. 生成主体与凭据依据不同

   • 模块与edgeHub间的SAS Token：由自定义模块通过IoTHubModuleClient_CreateFromEnvironment函数生成，基于模块自身的Symmetric Key身份凭据，仅用于模块和edgeHub之间的身份认证与通信（连接、发送遥测等操作）。
   • edgeHub与IoTHub间的SAS Token：由edgeHub自身生成，基于IoT Edge设备的Symmetric Key身份凭据，仅用于edgeHub和云端IoTHub之间的身份认证与通信。

2. 流程修正说明
   你之前理解的第(4)步存在偏差，正确的传输流程是：

   • (1) 自定义模块通过IoTHubModuleClient_CreateFromEnvironment生成自身的SAS Token
   • (2) 模块使用此SAS Token向edgeHub完成身份认证并建立连接
   • (3) 模块使用同一SAS Token向edgeHub发送遥测数据
   • (4) edgeHub收到遥测数据后，会使用自身生成的、基于IoT Edge设备身份的SAS Token，将数据转发至IoTHub

3. 安全设计逻辑
   这种分离设计遵循最小权限原则：模块仅拥有与edgeHub通信的权限，edgeHub仅拥有与IoTHub通信的权限，两者Token的权限范围、有效期、生成依据完全独立，避免了权限过度暴露的安全风险。

内容的提问来源于stack exchange，提问作者Yama