Diferença entre 'aud' e 'iss' em jwt

Desejo implementar um serviço de autenticação mais robusto e jwté uma grande parte do que quero fazer, e entendo como escrever o código, mas estou com um pouco de dificuldade para entender a diferença entre as reivindicações isse as reservadas aud. Entendo que aquele define o servidor que está emitindo o token e o que se refere ao aplicativo que se destina a ser usado. Mas o que entendo é que meu público e emissor são a mesma coisa que myserver.comestá emitindo o token para que as pessoas que visitam myserver.compossam ser autorizadas e autenticadas. Acho que não vejo a diferenciação entre as duas reivindicações, embora eu saiba que há uma.
Havia um bom artigo escrito emmsdn em todas as reivindicações reservadas e foi aí que fiquei mais confuso porque eles tinham o emissor e o público completamente diferentes.

Eles são destinados a cenários em que você possui uma autoridade emissora de token que não é a mesma que o aplicativo que é o destinatário pretendido.

Isso pode não ser diferente para o seu aplicativo.

Mas considere um aplicativo de grande escala. Você pode ter um servidor OAuth ou SSO que está emitindo os certificados e um aplicativo que deseja um token que mostre que o servidor SSO verificou as credenciais do usuário e aprovou o usuário para usar o aplicativo. Nesse caso, você pode ter um token com "aud": "aud.example.com"e "iss": "sso.example.com".