使用IoT SDK对接DPS出现安全包无可用凭据错误如何解决

• 证书版本问题：你当前生成的是V1版本X.509证书，V1证书不支持扩展字段，无法添加IoT DPS/Hub要求的客户端身份验证增强型密钥用法（EKU），不符合Azure IoT服务的证书要求。
• 证书属性缺失：生成设备证书时未添加客户端认证EKU（OID：1.3.6.1.5.5.7.3.2），Azure IoT服务要求所有用于设备认证的X.509证书必须携带该扩展。
• .NET证书加载机制问题：Windows平台下X509Certificate2.CreateFromPemFile方法加载的证书私钥默认存储在临时内存区，未设置持久化/可读取标志，Azure IoT SDK的安全提供程序读取私钥时权限不足，触发安全包无凭据报错。

1. 修正证书生成逻辑，生成符合要求的V3证书 #

首先新建设备证书扩展配置文件device_ext.cnf，内容如下：

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no

[req_distinguished_name]
CN = device4

[v3_req]
extendedKeyUsage = clientAuth

更新设备证书生成命令，添加扩展参数生成V3证书：

# 原有根CA生成命令无需修改
# 生成设备CSR和私钥
openssl req -nodes -new -subj /CN=device4 -sha256 -out verify.csr -keyout private.pem -config device_ext.cnf
# 签发设备证书时指定扩展配置，生成V3版本带客户端认证EKU的证书
openssl x509 -req -in verify.csr -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -out public.pem -days 180 -sha256 -extfile device_ext.cnf -extensions v3_req

生成后可通过openssl x509 -in public.pem -text -noout验证，确认版本为V3、扩展字段包含TLS Web Client Authentication。

2. 修正.NET代码中的证书加载逻辑 #

调整证书加载代码，添加密钥存储标志确保SDK可正常读取私钥：

// 先加载PEM证书，转成PFX格式后重新导入，添加存储权限标志
var rawCert = X509Certificate2.CreateFromPemFile(publicKeyFileName, privateKeyFileName);
var certificate = new X509Certificate2(
    rawCert.Export(X509ContentType.Pfx),
    string.Empty,
    X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.Exportable
);

SecurityProviderX509Certificate securityProvider = new SecurityProviderX509Certificate(certificate);
ProvisioningDeviceClient = ProvisioningDeviceClient.Create(DPSURL, DPSScopeId, securityProvider, provisioningTransportHandler);
// 建议替换.Result为await避免同步死锁
DeviceRegistrationResult registrationResult = await ProvisioningDeviceClient.RegisterAsync();

3. 验证配置项 #

• 确认DPS中上传的根CA证书已完成所有权验证，注册组类型为X.509且关联对应根CA
• 确认使用的Azure IoT DPS SDK为最新稳定版，避免旧版本已知证书处理Bug

内容的提问来源于stack exchange，提问作者Kevin Saye