Azure IoT设备预配授权失败：C SDK示例遇IotHubUnauthorizedAccess错误

以下是针对你遇到的「DPS初始请求返回200，但最终连接IoT Hub时出现IotHubUnauthorizedAccess/PROV_DEVICE_RESULT_DEV_AUTH_ERROR」问题的常见排查方向：

1. 证书链未在DPS或IoT Hub完成信任配置 #

• 如果使用CA证书认证模式：登录Azure门户进入DPS资源，在「证书」页确认上传的CA证书已完成所有权验证（显示“已验证”状态）；同时检查分配目标IoT Hub的「证书」页，确保对应的根/中间证书已上传并验证（部分场景下IoT Hub不会自动继承DPS的信任链）。
• 如果使用单个设备证书注册：确认DPS的「单个注册」项中已正确录入设备证书的SHA-1或SHA-256指纹，且状态为“启用”。

2. 设备证书与Registration ID/设备ID不匹配 #

• 用openssl x509 -in device.crt -noout -subject查看证书的Subject字段，确认CN（通用名称）与你设置的registration_id完全一致。部分IoT Hub配置要求设备ID必须与证书CN匹配，否则会拒绝连接。

3. 证书的有效期或密钥用法不符合要求 #

• 执行openssl x509 -in device.crt -noout -text检查证书信息：
  • 确认「Validity」字段显示证书当前处于有效期内；
  • 确认「X509v3 Extended Key Usage」包含「TLS Web Client Authentication」（OID 1.3.6.1.5.5.7.3.2），同时「Key Usage」包含「Digital Signature」和「Key Encipherment」。

4. IoT Hub中设备身份的证书指纹不匹配 #

• 登录Azure门户进入分配的IoT Hub，在「设备」列表找到通过DPS注册的设备：
  • 确认设备的「身份认证」类型为「X.509证书」；
  • 对比设备详情中显示的指纹（SHA-1/SHA-256）与本地证书的指纹（用openssl x509 -in device.crt -noout -fingerprint -sha256生成），若不一致，删除该设备后重新通过DPS注册。

5. 示例程序中证书参数格式错误 #

• 确保x509certificate参数是完整的PEM链：设备证书在前，后续依次拼接所有中间证书（包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----标记）；
• 确认x509privatekey使用未加密的PEM格式，不存在Proc-Type: 4,ENCRYPTED等加密标识（示例程序不支持带密码的私钥）。

6. DPS注册配置与IoT Hub权限不匹配 #

• 检查DPS的注册项（单个注册/注册组）：
  • 若为注册组，确认设备证书是由该组关联的CA证书签发；
  • 若为单个注册，确认指纹信息与设备证书完全一致；
• 确认IoT Hub的「IoT Hub所有者」「设备连接」等权限未被错误限制（可临时用IoT Hub所有者密钥测试连接，排除权限配置问题）。

内容的提问来源于stack exchange，提问作者Nv9zEs