使用umqtt（Micropython）连接AWS IoT Core时遇invalid key错误

核心问题分析 #

你遇到的ValueError: invalid key通常由以下几个原因导致：

• 缺少AWS根CA证书，导致SSL握手无法完成服务器验证
• 密钥格式不兼容（AWS下载的是PKCS#1格式RSA密钥，部分MicroPython版本要求PKCS#8格式）
• 证书/密钥文件传输时损坏（丢失换行符或字符）

分步解决方案 #

1. 添加根CA证书到SSL参数 #

AWS IoT Core连接必须验证服务器证书，你当前的代码没有加载AmazonRootCA1.pem，需要补充这一步：

1. 将AmazonRootCA1.pem上传到Pico W
2. 修改代码加载根CA并更新SSL参数：

# 新增加载根CA的代码
root_ca_file = '/AmazonRootCA1.pem'
with open(root_ca_file, 'r') as f:
    root_ca = f.read()

# 更新SSL_PARAMS，添加ca_certs
SSL_PARAMS = {'key': key, 'cert': cert, 'ca_certs': root_ca, 'server_side': False}

2. 转换RSA密钥为PKCS#8格式 #

MicroPython的ssl模块对PKCS#1格式的RSA密钥支持有限，AWS下载的private.pem.key是PKCS#1格式（标记为-----BEGIN RSA PRIVATE KEY-----），需要转换为PKCS#8格式：

1. 在本地用OpenSSL执行转换命令：

openssl pkcs8 -topk8 -inform PEM -outform PEM -in private.pem.key -out private_pkcs8.pem -nocrypt

2. 将转换后的private_pkcs8.pem上传到Pico W
3. 修改代码中的密钥文件路径：

keyfile = '/private_pkcs8.pem'

3. 验证证书/密钥文件完整性 #

用Thonny打开Pico W上的证书和密钥文件，检查：

• 文件开头和结尾的标记（如-----BEGIN RSA PRIVATE KEY-----）完整无缺失
• 中间的字符块没有乱码、换行符丢失的情况
• 文件内容与本地下载的原始文件完全一致

验证修改后的代码 #

完成以上步骤后，重新运行代码，应该能正常建立MQTT连接。

内容的提问来源于stack exchange，提问作者Benjamin de Jong