Twincat 3通过MQTT连接Microsoft Azure的TLS证书配置疑问

文档中CA证书"可选/强制"表述的说明 #

TF6701组件文档标注的可选仅针对私有MQTT Broker关闭TLS校验的场景，连接Azure IoT Hub这类公共MQTT服务时，TLS校验为强制要求，必须显式配置根CA证书。

证书获取与配置操作步骤 #

• 根证书获取
  • 按下Win+R输入certmgr.msc打开Windows证书管理器
  • 定位至「受信任的根证书颁发机构」→「证书」目录，找到「DigiCert Global Root G2」证书（Azure IoT Hub当前使用该根CA签发服务证书，Baltimore根证书已弃用）
  • 右键选中证书→所有任务→导出，在导出向导中选择「Base-64编码的X.509(.CER)」格式完成导出
  • 直接将导出的.cer文件后缀重命名为.crt，两种格式编码完全一致，仅后缀名适配TF6701的文件校验规则
• Twincat端配置
  • 将.crt证书文件存入控制器可访问的固定路径，建议放置在PLC项目的对应部署目录下
  • 在MQTT客户端配置的TLSParameters节点下，CaCertificate参数填写证书的绝对路径
  • 确认TLSParameters.VerifyPeer设为TRUE，TLSParameters.Version选择TLS 1.2（Azure IoT Hub仅支持TLS 1.2及以上版本）

排查技巧 #

• 出现TLS验证错误时优先检查证书路径权限，确认控制器运行时有权限读取证书文件
• 提前用桌面MQTT测试工具在控制器所属网络验证连通性、证书、SAS Token有效性，排除网络或账号配置问题
• 检查IoT Hub侧IP访问规则，确认控制器公网IP已被放通

内容的提问来源于stack exchange，提问作者FerOruna