Azure IoT Edge aziot-identityd启动失败：用户无device-id证书修改权限

• 环境：Ubuntu 20.04，Azure IoT Edge Runtime版本 aziot-identity-service=1.4.3-1、aziot-edge=1.4.9-1
• 故障场景：使用X509设备证书向Azure DPS注册组做身份认证时，aziot-identityd服务无法启动
• 核心错误：提示用户994（对应aziotks系统用户）无权限修改device-id证书，日志显示因权限问题无法创建证书导致启动失败
• 已尝试无效操作：执行chmod 777 -R /etc/aziot/和chmod 777 -R /var/lib/aziot/调整权限
• 特殊情况：用TPM方式在DPS预配时，服务可正常运行

1. 恢复目录的正确所有权
   直接将/etc/aziot和/var/lib/aziot的所有权改回服务对应的系统用户组，这是解决权限问题的核心：

   sudo chown -R aziotks:aziotks /etc/aziot/
   sudo chown -R aziotedge:aziotedge /var/lib/aziot/
   

   注：UID 994就是aziotks用户，它负责IoT Edge的证书管理操作，必须拥有证书相关目录的所有权。

2. 设置安全且合规的权限
   替换之前过度开放的777权限，设置符合服务运行要求的权限：

   sudo chmod -R 700 /etc/aziot/
   sudo chmod -R 700 /var/lib/aziot/
   

   700权限确保只有所属用户（aziotks/aziotedge）能读写执行目录内容，既满足服务需求又避免安全风险。

3. 检查自定义X509证书的权限
   如果你的X509证书不是放在默认的/etc/aziot/certs目录，需要给aziotks用户添加证书文件的读权限：

   sudo chown aziotks:aziotks /path/to/your/cert.pem /path/to/your/key.pem
   sudo chmod 600 /path/to/your/cert.pem /path/to/your/key.pem
   

4. 验证config.toml配置正确性
   打开/etc/aziot/config.toml检查X509相关配置，确保证书路径正确无误，示例配置如下：

   [provisioning]
   source = "dps"
   global_endpoint = "https://global.azure-devices-provisioning.net"
   id_scope = "<你的ID范围>"
   
   [provisioning.attestation]
   method = "x509"
   registration_id = "<你的注册ID>"
   identity_cert = "/etc/aziot/certs/device-cert.pem"
   identity_pk = "/etc/aziot/certs/device-key.pem"
   

5. 重启服务并验证
   执行命令重启服务，然后实时查看日志确认故障是否解决：

   sudo systemctl restart aziot-identityd
   sudo journalctl -u aziot-identityd -f
   

TPM预配正常是因为TPM的权限模型和X509不同，TPM操作不需要直接创建或修改证书文件；而X509认证时，aziot-identityd需要生成和管理device-id证书，必须由aziotks用户拥有对应的目录和文件权限。之前用chmod 777虽然开放了权限，但系统的安全策略（比如AppArmor）可能限制了服务进程的权限范围，恢复正确的所有权才能让服务正常操作证书文件。

内容的提问来源于stack exchange，提问作者jamal4code