Code Signing-certifikat för AWS KMS
Signera EXE, DLL, JAR och andra artefakter direkt från AWS Key Management Service. Inget USB-token behövs. Jsign ansluter till din AWS KMS-nyckel via AWS SDK och signerar lokalt, medan den privata nyckeln förblir på en FIPS 140-2 Level 3 HSM. Nyckeln lämnar aldrig HSM:en.
AWS KMS kostar cirka 10 kr/månad per asymmetrisk nyckel. Det är den billigaste cloud HSM-lösningen för code signing, billigare än båda Azure Key Vault Premium (ca 50 kr/månad) och Google Cloud KMS (ca 25 kr/månad).
Vad är AWS KMS Code Signing?
AWS KMS (Key Management Service) är Amazons hanterade nyckelhanteringstjänst. Sedan maj 2023 är alla AWS KMS HSM:er backade av FIPS 140-2 Level 3-certifierad hårdvara (tidigare Level 2). Denna uppgradering gör AWS KMS till ett giltigt alternativ för code signing utan behov av dedikerad AWS CloudHSM.
Jsign ↗ är det primära signeringsverktyget för AWS KMS. Det är open source, Java-baserat och stöder Authenticode, JAR-signering och flera andra format. Jsign autentiserar via AWS SDK (IAM credentials eller EC2 instance role).
Sedan juni 2023 kräver alla Code Signing-certifikat (OV och EV) HSM-backed nyckellagring. AWS KMS
uppfyller detta krav. Software-only .pfx-filer är inte längre tillåtna av någon Certificate Authority.
OV vs EV Code Signing med AWS KMS
| OV Code Signing | EV Code Signing | |
|---|---|---|
| Validering | Organisation | Extended (striktare) |
| SmartScreen-rykte | Byggs upp över tid med nedladdningar | Börjar med högre rykte |
| Kernel-mode drivrutinssignering | Nej | Ja (krävs av Microsoft) |
| AWS KMS | Asymmetrisk nyckel (RSA 4096) | Asymmetrisk nyckel (RSA 4096) |
| Utfärdandetid | 1-3 arbetsdagar | 1-5 arbetsdagar |
| Maximal giltighetstid | 459 dagar | 459 dagar |
FIPS 140-2 Level 3 sedan maj 2023
Före maj 2023 uppfyllde AWS KMS bara FIPS 140-2 Level 2, vilket inte var tillräckligt för code signing enligt CA/Browser Forum-reglerna. AWS uppgraderade alla KMS HSM:er till Level 3 i maj 2023.
Viktigt: Denna uppgradering innebär att AWS KMS nu är ett giltigt och det billigaste molnbaserade alternativet för code signing key storage. Du behöver inte AWS CloudHSM.
CA/Browser Forum kräver att den privata nyckeln för code signing-certifikat lagras på hårdvara som är certifierad till minst FIPS 140-2 Level 2 (i praktiken kräver de flesta CA:er Level 3). Med uppgraderingen i maj 2023 uppfyller standard AWS KMS detta krav utan extra konfiguration.
AWS KMS vs Azure Key Vault vs Google Cloud KMS
AWS KMS
- ✓ Ca 10 kr/månad
- ✓ FIPS 140-2 Level 3 (sedan maj 2023)
- ✓ Billigaste cloud HSM-lösningen
- • Jsign (enda signeringsverktyget)
- • AWS IAM-autentisering
Azure Key Vault
- • Ca 50 kr/månad
- • FIPS 140-2 Level 3
- • Bredaste verktygsstödet
- • AzureSignTool + Jsign + signtool
- • Azure AD-autentisering
Google Cloud KMS
- • Ca 25 kr/månad
- • FIPS 140-2 Level 3
- • Mellanklass i pris
- • Jsign (enda signeringsverktyget)
- • Google Cloud SDK-autentisering
Alla tre cloud KMS-tjänster uppfyller CA/Browser Forum-kraven för code signing key storage. Valet beror främst på vilken molnplattform du redan använder. AWS KMS är den billigaste lösningen, medan Azure Key Vault har det bredaste verktygsstödet. Se den fullständiga jämförelsen →
AWS CloudHSM vs AWS KMS
AWS KMS (ca 10 kr/månad)
- ✓ Delad HSM-infrastruktur, hanterad av AWS
- ✓ Tillräckligt för code signing
- ✓ Pay-per-key-prissattning
- ✓ FIPS 140-2 Level 3 (sedan maj 2023)
AWS CloudHSM (ca 14 000 kr/månad)
- • Dedikerat HSM-kluster
- • Full PKCS#11-åtkomst
- • Krävs för vissa compliance-regimer
- • Overkill för de flesta code signing-användningsfall
För de flesta code signing-scenarier är standard AWS KMS tillräckligt. CloudHSM är bara relevant om du har specifika compliance-krav som kräver PKCS#11-åtkomst eller full kontroll över HSM-hårdvaran.
Signeringsverktyg för AWS KMS
Jsign ↗ är det enda signeringsverktyget som stöder AWS KMS direkt. signtool.exe och AzureSignTool stöder inte AWS KMS.
Jsign är open source, Java-baserat och stöder Authenticode (.exe, .dll, .msi), JAR-signering, Windows Installer (.msi), MSIX och flera andra format. Det autentiserar via AWS SDK (IAM credentials, environment variables eller EC2 instance role).
Komplett installationsguide
Steg-för-steg-guide för att skapa en asymmetrisk nyckel i AWS KMS, generera CSR, skicka till CA:n och signera med Jsign från din CI/CD-pipeline.
Läs AWS KMS-installationsguiden →Relaterade sidor: USB-token | Azure Key Vault | Google Cloud KMS | AWS KMS | Office-makron | Jämför alla →
Code Signing-certifikat för AWS KMS
OV Code Signing
DigiCert CodeSign OV
DigiCert OV Code Signing. Fungerar med AWS KMS.
GlobalSign CodeSign
GlobalSign OV Code Signing. Fungerar med AWS KMS.
EV Code Signing
Vanliga frågor om AWS KMS Code Signing
Hitta svar på de vanligaste frågorna om SSL-certifikat och FairSSL.
Redo att signera från AWS KMS?
Skapa ett gratis konto och utfärda ditt första certifikat på under 10 minuter.