当您在来自不同租户的两个Azure AD身份之间创建联合时发生错误。我有一个从一个租户创建的访问令牌，下面的声明在jwt.ms中解码：

现在，我使用上面的声明值在不同租户的应用程序中创建联合凭据，如下所示：

当我尝试通过Postman使用联合凭证生成访问令牌时，我也得到了相同的错误：

POST https://login.microsoftonline.com:443/<tenantID>/oauth2/v2.0/token
client_id: appId
grant_type:client_credentials
scope: https://graph.microsoft.com/.default
client_assertion:<token_from_other_tenant>
client_assertion_type: urn:ietf:params:oauth:client-assertion-type:jwt-bearer

回复：

请注意，不支持在来自相同或不同租户的两个Azure AD标识之间创建联合。要确认这一点，您可以查看此MS文档。
或者，我为外部IDP（auth0）创建了一个访问令牌，其声明如下：

现在，我在应用程序中使用上述声明值创建了新的联合凭据：

当我使用上面的token作为**client_assertion时，token成功生成，使用联合**凭证，如下所示：

参考：

Azure Active Directory Workload Identity Federation with external OIDC IdP