Code Signing med SignTool og AzureSignTool

signtool.exe er Microsofts officielle signeringsværktøj, inkluderet i Windows SDK. AzureSignTool er en gratis, open source-udvidelse der tilføjer Azure Key Vault-understøttelse. Tilsammen dækker de de mest almindelige Windows code signing-workflows.

Begge værktøjer signerer alle standard Windows-filtyper: .exe, .dll, .msi, .msix, .cab, .ps1, .appx og .sys. Vælg signtool.exe til USB-token og lokal certificate store, eller AzureSignTool til cloud-baseret signering med Azure Key Vault.

Hvad er AzureSignTool?

dotnet tool install --global AzureSignTool

AzureSignTool sign \
  -kvu https://your-vault.vault.azure.net \
  -kvc YourCertName \
  -kvt your-tenant-id \
  -kvi your-client-id \
  -kvs your-client-secret \
  -fd sha256 \
  -tr http://timestamp.digicert.com \
  -td sha256 \
  "MyApp.exe"

Almindelige signtool-kommandoer

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a "MyApp.exe"

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /sha1 ABCDEF1234567890 "MyApp.exe"

signtool verify /pa /v "MyApp.exe"

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a *.exe

CI/CD pipeline-eksempler

AzureSignTool integreres i Azure DevOps, GitHub Actions og GitLab CI. Her er eksempler for de mest almindelige pipelines:

Azure DevOps

- task: DotNetCoreCLI@2
  displayName: 'Install AzureSignTool'
  inputs:
    command: 'custom'
    custom: 'tool'
    arguments: 'install --global AzureSignTool'

- script: |
    AzureSignTool sign \
      -kvu $(KeyVaultUrl) \
      -kvc $(CertificateName) \
      -kvt $(TenantId) \
      -kvi $(ClientId) \
      -kvs $(ClientSecret) \
      -fd sha256 \
      -tr http://timestamp.digicert.com \
      -td sha256 \
      "$(Build.ArtifactStagingDirectory)\**\*.exe"
  displayName: 'Sign executables'

GitHub Actions

- name: Install AzureSignTool
  run: dotnet tool install --global AzureSignTool

- name: Sign executables
  run: |
    AzureSignTool sign \
      -kvu ${{ secrets.KEY_VAULT_URL }} \
      -kvc ${{ secrets.CERT_NAME }} \
      -kvt ${{ secrets.TENANT_ID }} \
      -kvi ${{ secrets.CLIENT_ID }} \
      -kvs ${{ secrets.CLIENT_SECRET }} \
      -fd sha256 \
      -tr http://timestamp.digicert.com \
      -td sha256 \
      "MyApp.exe"

Gem Key Vault-credentials som pipeline-variabler eller secrets. Brug Azure RBAC med en managed identity for nøglefri autentificering.