Code Signing med SignTool och AzureSignTool

signtool.exe är Microsofts officiella signeringsverktyg och ingår i Windows SDK. AzureSignTool är ett kostnadsfritt verktyg med öppen källkod som ger stöd för Azure Key Vault. Tillsammans täcker de de vanligaste sätten att kodsignera i Windows.

Båda verktygen signerar de vanliga filtyperna i Windows: .exe, .dll, .msi, .msix, .cab, .ps1, .appx och .sys. Välj signtool.exe för USB-token och det lokala certifikatlagret, eller AzureSignTool för signering i molnet med Azure Key Vault.

Vad är AzureSignTool?

dotnet tool install --global AzureSignTool

AzureSignTool sign \
  -kvu https://your-vault.vault.azure.net \
  -kvc YourCertName \
  -kvt your-tenant-id \
  -kvi your-client-id \
  -kvs your-client-secret \
  -fd sha256 \
  -tr http://timestamp.digicert.com \
  -td sha256 \
  "MyApp.exe"

Vanliga signtool-kommandon

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a "MyApp.exe"

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /sha1 ABCDEF1234567890 "MyApp.exe"

signtool verify /pa /v "MyApp.exe"

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a *.exe

Exempel för CI/CD-pipelines

AzureSignTool fungerar i Azure DevOps, GitHub Actions och GitLab CI. Exempel för Azure DevOps och GitHub Actions:

Azure DevOps

- task: DotNetCoreCLI@2
  displayName: 'Install AzureSignTool'
  inputs:
    command: 'custom'
    custom: 'tool'
    arguments: 'install --global AzureSignTool'

- script: |
    AzureSignTool sign \
      -kvu $(KeyVaultUrl) \
      -kvc $(CertificateName) \
      -kvt $(TenantId) \
      -kvi $(ClientId) \
      -kvs $(ClientSecret) \
      -fd sha256 \
      -tr http://timestamp.digicert.com \
      -td sha256 \
      "$(Build.ArtifactStagingDirectory)\**\*.exe"
  displayName: 'Sign executables'

GitHub Actions

- name: Install AzureSignTool
  run: dotnet tool install --global AzureSignTool

- name: Sign executables
  run: |
    AzureSignTool sign \
      -kvu ${{ secrets.KEY_VAULT_URL }} \
      -kvc ${{ secrets.CERT_NAME }} \
      -kvt ${{ secrets.TENANT_ID }} \
      -kvi ${{ secrets.CLIENT_ID }} \
      -kvs ${{ secrets.CLIENT_SECRET }} \
      -fd sha256 \
      -tr http://timestamp.digicert.com \
      -td sha256 \
      "MyApp.exe"

Lagra uppgifterna till Key Vault som pipeline-variabler eller secrets. Med Azure RBAC och en managed identity autentiserar du utan lagrade hemligheter.