如何跨不同Azure订阅实现IoT Hub设备间的数据传输

针对跨订阅、接收端IoT Hub部署在专用VNet的场景，以下是几个可落地的解决方案，适配发送端设备的公网/私网环境：

方案1：IoT Hub路由+中间中转服务（通用方案） #

不管发送端在公网还是私网，只要能连接自身所属的IoT Hub，就能用这个方案：

• 发送端设备正常将消息发送到自身所属的IoT Hub（私网环境可通过IoT Hub私有端点/Express Route确保连通）
• 在发送端IoT Hub内配置消息路由，把目标设备的消息转发到跨订阅部署的Azure Service Bus
• 在接收端订阅的专用VNet内部署Azure Function或逻辑应用，通过VNet集成访问接收端IoT Hub的私有端点
• 该Function从Service Bus拉取消息，再调用IoT Hub的设备API将消息推送给目标设备

方案2：跨订阅VNet打通（低延迟私网场景） #

如果发送端设备在私网，且需要低延迟的直接消息传递：

• 为两个订阅的VNet建立对等连接（同区域用普通VNet对等，跨区域用Global VNet对等）
• 接收端IoT Hub配置私有端点，限制仅允许自身VNet和对等VNet的流量访问
• 发送端私网配置路由规则，确保设备能解析并访问接收端IoT Hub的私有IP
• 提前在接收端IoT Hub注册发送端设备身份（或生成合法SAS令牌），发送端设备直接通过IoT Hub SDK，借助私有端点向目标设备发送消息

方案3：IoT Edge本地转发（隔离私网场景） #

如果发送端处于完全隔离的私网，无法直接连通公网或接收端VNet：

• 在发送端私网内部署Azure IoT Edge网关，确保网关能连接到公网的发送端IoT Hub
• 发送端设备将消息发送到本地Edge网关
• 在Edge网关中部署自定义模块，将消息转发到接收端VNet内的设备代理服务
• 代理服务再将消息推送给接收端IoT Hub的目标设备

关键配置注意事项 #

• 接收端IoT Hub必须启用VNet服务端点或私有端点，禁用公网直接访问，仅允许可信网络流量进入
• 跨订阅资源需配置RBAC权限：比如发送端IoT Hub要有Service Bus的发送权限，Azure Function要有接收端IoT Hub的消息发送权限
• 私网环境下的设备需确保能解析接收端IoT Hub的私有域名，可配置Azure私有DNS区域实现域名解析

内容的提问来源于stack exchange，提问作者Avinash G