使用托管身份连接EventHubConsumerClient到Azure IoT Hub报错解决方案咨询

你遇到的401 InvalidIssuer报错核心原因是Event Hub SDK默认生成的托管身份令牌受众是标准Event Hub服务的https://eventhubs.azure.net，而IoT Hub内置事件端点要求令牌受众必须是https://iothubs.azure.net，受众不匹配导致IoT Hub不认令牌。

1. 新增认证范围参数 #

Python代码修改 #

在初始化EventHubConsumerClient时显式指定认证范围为IoT Hub的官方范围https://iothubs.azure.net/.default，修改后的代码块如下：

client = EventHubConsumerClient(
    fully_qualified_namespace=evthubnamespace,
    eventhub_name=evthubname,
    consumer_group="$Default",
    checkpoint_store=checkpoint_store,
    credential=credential,
    # 新增这一行指定IoT Hub的认证范围
    credential_scope="https://iothubs.azure.net/.default"
)

C#代码修改 #

你测试用的C# EventProcessorClient也需要同步指定认证范围：

var client = new EventProcessorClient(
    BlobCheckpointStore,
    consumerGroup: "$Default",
    fullyQualifiedNamespace: evthubNamespace,
    eventHubName: evthubName,
    credential: new DefaultAzureCredential(),
    eventHubClientOptions: new EventProcessorClientOptions()
    {
        CredentialScope = "https://iothubs.azure.net/.default"
    }
);

2. 确认配置参数正确性 #

• 环境变量IOTHUB_EVTHUB_FULLY_QUALIFIED_NAMESPACE必须填写IoT Hub的完全限定域名，格式为<你的IoT Hub名称>.azure-devices.net
• 环境变量IOTHUB_EVTHUB_NAME必须填写IoT Hub内置事件端点的固定名称messages/events，不要填写IoT Hub本身的名称

3. 确认角色分配生效 #

• 确认托管身份的「IoT Hub Data Reader」角色是直接分配在目标IoT Hub资源上，而非父级资源组/订阅
• 角色分配后最长需要等待5分钟生效，刚分配完成立刻测试可能会出现认证失败

可以先在虚拟机内手动请求令牌验证有效性，执行如下命令：

curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fiothubs.azure.net&client_id=<替换为你的托管身份客户端ID>' -H Metadata:true

将返回的access_token粘贴到JWT解析工具中，确认aud声明值为https://iothubs.azure.net即可。

内容的提问来源于stack exchange，提问作者Wooyay