Azure Key Vault Code Signing: opsætningsguide

Gå til Azure-portalen og opret en ny Key Vault-ressource. Den afgørende indstilling er prisniveauet.

Azure CLI-alternativ

az keyvault create \
  --name your-codesign-vault \
  --resource-group your-resource-group \
  --location westeurope \
  --sku premium \
  --enable-purge-protection true

Navigér i Azure-portalen til din Key Vault → Certificates → Generate/Import.

Klik Create. Certifikatet vises i listen med status "In progress". Klik på det, og klik derefter Certificate Operation → Download CSR for at hente CSR-filen.

Vi anbefaler at samle alle certifikater i én PEM-fil: dit Code Signing-certifikat først, derefter intermediate-certifikatet og til sidst root-certifikatet. Denne rækkefølge sikrer, at Azure Key Vault kan validere hele certifikatkæden.

Opret den samlede PEM-fil

Åbn en teksteditor og indsæt certifikaterne i denne rækkefølge (eller brug kommandoen herunder):

-----BEGIN CERTIFICATE-----
(dit Code Signing-certifikat)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(intermediate-certifikat fra CA'en)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(root-certifikat fra CA'en)
-----END CERTIFICATE-----

Med kommandolinjen kan du sammensætte filen direkte:

cat codesign.pem intermediate.pem root.pem > fullchain.pem

Upload til Key Vault

Gå tilbage til din Key Vault → Certificates → klik på det ventende certifikat → Certificate Operation → Merge Signed Request.

Upload den samlede PEM-fil (fullchain.pem). Azure Key Vault fletter certifikatkæden med den private nøgle, der blev genereret i trin 3.

Efter fletning ændres certifikatets status til "Completed", og det er klar til signering.

Azure CLI-alternativ

az keyvault certificate pending merge \
  --vault-name your-codesign-vault \
  --name codesign-2026 \
  --file fullchain.pem

AzureSignTool ↗ er en gratis, open source-erstatning for signtool.exe, der signerer direkte fra Azure Key Vault.

dotnet tool install --global AzureSignTool

Kræver .NET 8 SDK eller nyere. Efter installation er AzureSignTool tilgængelig som en global kommando.

Alternativ: Jsign (cross-platform)

Jsign ↗ er et Java-baseret signeringsværktøj, der også understøtter Azure Key Vault. Jsign kører på Windows, macOS og Linux, og kan signere .exe, .msi, .dll, PowerShell, Office-makroer og Java/Android-apps (som bro til jarsigner).

jsign --storetype AZUREKEYVAULT \
  --storepass "YOUR_CLIENT_ID|YOUR_CLIENT_SECRET|YOUR_TENANT_ID" \
  --keystore your-codesign-vault \
  --alias codesign-2026 \
  --tsaurl http://timestamp.digicert.com \
  MyApplication.exe

Jsign er et godt alternativ, hvis du ikke har .NET installeret, eller hvis du signerer fra macOS/Linux.

AzureSignTool kører i enhver CI/CD-pipeline, der understøtter .NET. Gem dine Key Vault-credentials som hemmelige pipeline-variabler.

- task: DotNetCoreCLI@2
  displayName: 'Install AzureSignTool'
  inputs:
    command: 'custom'
    custom: 'tool'
    arguments: 'install --global AzureSignTool'

- script: |
    AzureSignTool sign \
      -kvu $(KeyVaultUrl) \
      -kvc $(CertificateName) \
      -kvt $(TenantId) \
      -kvi $(ClientId) \
      -kvs $(ClientSecret) \
      -fd sha256 \
      -tr http://timestamp.digicert.com \
      -td sha256 \
      "$(Build.ArtifactStagingDirectory)\**\*.exe"
  displayName: 'Sign executables'

- name: Install AzureSignTool
  run: dotnet tool install --global AzureSignTool

- name: Sign executables
  run: |
    AzureSignTool sign \
      -kvu ${{ secrets.KEY_VAULT_URL }} \
      -kvc ${{ secrets.CERT_NAME }} \
      -kvt ${{ secrets.AZURE_TENANT_ID }} \
      -kvi ${{ secrets.AZURE_CLIENT_ID }} \
      -kvs ${{ secrets.AZURE_CLIENT_SECRET }} \
      -fd sha256 \
      -tr http://timestamp.digicert.com \
      -td sha256 \
      "output/*.exe"

sign:
  image: mcr.microsoft.com/dotnet/sdk:8.0
  script:
    - dotnet tool install --global AzureSignTool
    - export PATH="$PATH:$HOME/.dotnet/tools"
    - AzureSignTool sign
        -kvu $KEY_VAULT_URL
        -kvc $CERT_NAME
        -kvt $AZURE_TENANT_ID
        -kvi $AZURE_CLIENT_ID
        -kvs $AZURE_CLIENT_SECRET
        -fd sha256
        -tr http://timestamp.digicert.com
        -td sha256
        "output/*.exe"