调用代码摘要签名时Azure Trusted Signing返回200却抛RequestFailedException

已完成的配置 #

• 组织已通过验证
• 已创建证书配置文件
• 已添加「Trusted Signing Certificate Profile Signer」角色

执行的签名代码 #

await using var stream = File.OpenRead("...");
var digest = await SHA512.HashDataAsync(stream);

var endpoint = new Uri("https://weu.codesigning.azure.net/");
const string codeSigningAccountName = "...";
const string certificateProfileName = "...";

var client = new CertificateProfileClient(new InteractiveBrowserCredential(), endpoint);

var signRequest = new SignRequest(SignatureAlgorithm.ES512, digest);
var signOperation = await client.StartSignAsync(codeSigningAccountName, certificateProfileName, signRequest);
var response = await signOperation.WaitForCompletionAsync();

遇到的问题 #

操作失败，抛出无详细信息的RequestFailedException，HTTP返回200 OK，响应内容：

{"operationId":"d83663c9-03ee-475e-b585-87de006601a0","status":"Failed","signature":null,"signingCertificate":null,"counterSignature":null}

排查与解决方案 #

1. 验证证书配置文件与签名算法匹配
   确认证书配置文件中的证书支持ES512（ECDSA-SHA512）算法：

   • 登录Azure门户，进入对应的Trusted Signing账户，查看证书配置文件的证书详情，检查密钥类型是否为ECDSA，密钥长度是否为512位。
   • 如果证书是RSA类型，需改用RSASSA-PSS-SHA512或对应RSA的签名算法。

2. 检查PowerShell脚本的签名预处理要求
   若签名的是PowerShell脚本，不能直接对文件内容做SHA512哈希，需遵循PowerShell的签名规范：

   • PowerShell脚本签名需要先处理为符合PKCS#7的格式，建议使用Azure.CodeSigning.Sdk中针对PowerShell的专用逻辑，或先通过System.Management.Automation.Signature相关API处理脚本后再生成哈希。

3. 确认权限作用域正确性
   检查「Trusted Signing Certificate Profile Signer」角色的作用域：

   • 确保角色是直接分配到目标证书配置文件或所属的Trusted Signing账户上，而非仅分配到资源组或订阅层级（层级过宽可能导致权限无法正确生效）。

4. 验证区域端点与账户区域匹配
   确认你的Trusted Signing账户所在区域与使用的端点https://weu.codesigning.azure.net/（西欧）一致：

   • 若账户在其他区域，需替换为对应区域的端点，比如美国东部为https://eus.codesigning.azure.net/。

5. 查看Azure活动日志获取详细错误
   在Azure门户中找到你的Trusted Signing账户，进入「活动日志」筛选操作记录，找到对应operationId的日志条目，里面会包含签名失败的具体原因（比如证书过期、权限不足、算法不匹配等）。

内容的提问来源于stack exchange，提问作者Thomas Eyde