问代表令牌问题(AADSTS50013:断言包含无效签名)

EN

当我试图使用Cortana用户令牌(这是一个图形令牌)生成一个“代理”令牌到另一个使用ClientAssertionCertificate / ClientCredential的消费Web应用程序时，我会收到一个错误(在下面提到)，方法是将它的AppId作为ResourceId传递给通过使用Cortana用户令牌生成的userAssertion。

当检查我们的Bot设置时，它与其他消费Web API (API B)一起配置为有效的应用程序以及。我们是否需要在AAD中做任何额外的设置来获得这个代币？

AADSTS50013: Assertion contains an invalid signature. 
[Reason - The provided signature value did not match the expected signature value., 
    Thumbprint of key used by client: '9DB0B05B5D70DD7901FB151A5F029148B8CC1C64', 
    Found key 'Start=11/11/2018 00:00:00, 
    End=11/11/2020 00:00:00'
]
Trace ID: a440869f-b8f5-4d87-ba1a-6bd8dd7ba200
Correlation ID: 651e1fa8-2069-4489-a687-e68e5206e193
Timestamp: 2019-01-02 07:14:45Z

下面是我们试图为其他消费的Web (API B)获取代理令牌的流程和示例代码。

流动步骤：

1. Cortana要求用户登录。
2. 用户登录到Cortana
3. Cortana向Microsoft发送此用户令牌(生成的目标是使用https://graph.microsoft.com作为受众)
4. 验证并希望使用此令牌来调用其他Web (称为API B)。
5. 由于这个Cortana用户令牌不能直接使用，因此需要从代表API B生成令牌。
6. 下面是用于代表生成令牌的代码示例： 公共异步任务GetOnBehalfOfTokenAsync(字符串权限、字符串资源、字符串范围= "“、字符串令牌= "") { AuthenticationResult输出；var clientId =GetOnBehalfOfTokenAsync/ Read证书可用于使用ClientAssertionCertificate // GetCert()将令牌发送到API B，用于根据Web.config文件中配置的拇指打印获取证书。var证书= this.GetCert()；//‘https://login.microsoftonline.com/{tenant’是https://login.microsoftonline.com/{tenant id} var authContext =新的AuthenticationContext(权威)；var cllientCertificateCredential =新的ClientAssertionCertificate(clientId，证书)；//‘令牌’是从Cortana接收的用户令牌。变量userAssertion =(！string.IsNullOrWhiteSpace(令牌))？新的"urn:ietf:params:oauth:grant-type:jwt-bearer"，(UserAssertion，TokenHelper.ExtractUserInfoFromAuthToken(token，“upn”)：null；尝试{ //‘资源’是API B //如果UserAssertion为空的资源Id，那么使用UserAssertion和ClientAssertionCertificate if (userAssertion == null) { output =等待authContext .AcquireTokenAsync(资源，cllientCertificateCredential) .ConfigureAwait(False)获取令牌；{ output =等待authContext .AcquireTokenAsync(资源，cllientCertificateCredential，userAssertion) .ConfigureAwait(false)；} catch (异常ex) {logger.log(“错误获取AAD身份验证令牌”，ex)；}返回output.AccessToken}；
7. 获得上述异常，在此步骤中： 输出=等待authContext .AcquireTokenAsync(资源，cllientCertificateCredential，userAssertion) .ConfigureAwait(false)；