连接AWS IoT时出现认证失败问题，请求排查原因

以下是导致该错误的常见原因及对应修复方案，结合你的代码逐一说明：

1. TLS证书配置错误（代码核心问题） #

你的代码中存在两处证书加载和配置的关键问题：

• CA证书加载方式错误：直接将PEM格式的CA证书转成字节后用X509Certificate2实例化，无法正确解析PEM格式证书。.NET 5+可直接用X509Certificate2.CreateFromPemFile加载PEM格式文件，低版本需先将PEM转换为DER格式。
• 证书列表配置错误：tlsOptions.Certificates应仅包含带私钥的设备证书，CA证书是用来验证AWS IoT服务器端证书的，不需要加入这个列表，错误添加会导致认证流程混乱。

修复后的证书配置代码示例：

// 加载CA证书（.NET 5+）
var signingcert = X509Certificate2.CreateFromPemFile(curDir + @"ca_cert.pem");

// 加载设备证书（保持原库加载方式，确保带私钥）
var reader = new CertificateFromPemReader();
X509Certificate2 deviceCertificate = reader.LoadCertificateWithPrivateKeyFromStrings(deviceCertPEMString, devicePrivateCertPEMString);

// TLS配置修正
MqttClientOptionsBuilderTlsParameters tlsOptions = new MqttClientOptionsBuilderTlsParameters();
tlsOptions.Certificates = new List<X509Certificate> { deviceCertificate };
tlsOptions.SslProtocol = System.Security.Authentication.SslProtocols.Tls12;
tlsOptions.UseTls = true;
// 关闭不安全的允许未信任证书选项，改用CA证书验证服务器
tlsOptions.AllowUntrustedCertificates = false;
tlsOptions.CertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
{
    chain.ChainPolicy.ExtraStore.Add(signingcert);
    return chain.Build(new X509Certificate2(cert));
};

2. 设备证书未在AWS IoT完成配置 #

• 确认设备证书已在AWS IoT控制台注册并激活，未激活或已吊销的证书会直接认证失败。
• 证书必须关联有效的IoT政策，政策需包含iot:Connect、iot:Publish等必要权限，否则即使证书有效也会被拒绝连接。

3. ClientId不符合AWS IoT规则 #

AWS IoT对MQTT ClientId的限制：

• 长度不超过128字符。
• 不能使用$aws/类保留前缀（该前缀仅用于AWS内部服务）。
• 若使用Thing Shadow功能，建议ClientId与Thing名称一致，避免后续功能异常。

4. 网络与端点可达性问题 #

• 检查网络是否能访问指定的AWS IoT端点（xxx-ats.iot.eu-central-1.amazonaws.com），端口8883未被防火墙、代理拦截。
• 先用AWS IoT控制台的MQTT测试客户端验证端点和证书的有效性，排除代码外的环境问题。

5. 证书链不完整 #

设备证书可能缺少中间证书，导致AWS IoT无法完整验证证书链。需从AWS IoT控制台下载完整的证书链文件（包含CA和中间证书），确保设备证书与链文件匹配。

内容的提问来源于stack exchange，提问作者vico