使用SignTool签名MSIX文件时遇SignerSign()失败错误（0x80004005）

核心排查步骤 #

• 补全metadata.json必填字段：你当前的metadata.json里CodeSigningAccountName和CertificateProfileName是空值，这两个是必须填写的核心参数，必须与Azure中创建的代码签名账户名称、证书配置文件名称完全一致。空值会导致请求无法正确定位资源，直接触发403权限拦截。修正后的示例：

  {
    "Metadata": {
      "Endpoint": "https://wus2.codesigning.azure.net",
      "CodeSigningAccountName": "你的代码签名账户名",
      "CertificateProfileName": "你的证书配置文件名",
      "CorrelationId": "",
      "ExcludeCredentials": []
    }
  }
  

• 验证执行身份的权限有效性：

  • 确认执行签名命令的账户（本地登录的Azure账户或自动化环境的服务主体）确实被分配了Trusted Signing Certificate Profile Signer角色，且角色作用范围是目标代码签名账户或其所在资源组。
  • 如果是自动化场景，检查是否正确配置了Azure身份凭据（如AZURE_CLIENT_ID、AZURE_CLIENT_SECRET、AZURE_TENANT_ID环境变量），确保凭据未过期且权限未被撤销。

• 再次核对发布者名称匹配度：
  仔细对比AppxManifest.xml中的Publisher字段与证书配置文件的Subject，确保每个字段（CN、O、L、S、C）的内容、大小写、空格完全一致，任何细微差异都可能导致签名验证失败。

• 检查组件版本兼容性：
  你使用的Trusted Signing客户端版本是1.0.53，建议尝试升级到最新稳定版本，同时确认与使用的Windows SDK Build Tools版本（10.0.22621.3233）的兼容性，旧版本可能存在API请求格式不匹配的问题。

• 确认命令路径正确性：
  检查signtool.exe和Azure.CodeSigning.Dlib.dll的路径是否存在拼写错误，确保文件实际存在于指定路径下，路径中的nupkg解压后的目录结构是否正确。

内容的提问来源于stack exchange，提问作者eric-v