Azure Trusted Signing身份验证能否使用州本地名称？解决MSIX更新故障

关于州本地名称选择的可行性 #

目前Azure Trusted Signing的身份验证表单确实仅提供德国州的英文名称选项，但你可以通过以下方式尝试申请支持本地名称：

• 提交Azure技术支持工单，明确说明业务场景：旧证书使用德国州本地名称（如Niedersachsen），新证书强制使用英文导致MSIX更新机制断裂，且无法使用MSIX持久化身份（因需兼容旧Windows系统）。附上新旧证书的Subject示例，请求官方开放本地名称的选择权限，或允许手动输入州名称字段。
• 这类本地化适配需求通常会被纳入评估，尤其是当业务连续性受影响时，支持团队会优先处理。

临时修复方案（避免MSIX更新断裂） #

如果暂时无法调整Azure端的表单选项，可以尝试以下临时方案：

• 通过API手动指定证书Subject：使用Azure CLI或PowerShell创建签名配置时，直接在--subject参数中指定包含本地州名称的完整Subject字符串，绕过表单选择限制。例如：

  az trusted-signing account certificate create --account-name <你的账户名> --resource-group <资源组> --subject "CN=My Company, O=My Company, L=MyCity, S=Niedersachsen, C=DE" --certificate-profile-name <配置文件名>
  

  注意需确认你的账户权限允许通过API创建证书，且该参数支持自定义Subject字段。
• 调整MSIX打包配置：在打包MSIX时，手动指定包的Publisher属性与旧证书的Subject完全一致（即CN=My Company, O=My Company, L=MyCity, S=Niedersachsen, C=DE）。即使新证书的Subject是英文版本，只要包的发布者标识与旧版本匹配，Windows更新机制仍能识别为同一应用，避免文件名变化导致的更新失败。需确保签名后的包仍能被目标系统信任（新证书需在系统信任列表中）。
• 域环境下的证书映射：如果你的用户处于域环境中，可以通过组策略配置证书Subject映射，让系统将新证书的英文Subject关联到旧的本地名称标识，从而兼容旧版应用更新。但此方案仅适用于域内设备，复杂度较高。

关键提醒 #

由于MSIX持久化身份无法用于旧Windows系统，保持证书Subject与旧版本完全一致是解决更新问题的核心。优先推动Azure支持团队调整表单选项，或通过API自定义Subject字段，是最直接的长期解决方案。

内容的提问来源于stack exchange，提问作者DHe