Code Signing med SignTool och AzureSignTool

signtool.exe är Microsofts officiella signeringsverktyg, inkluderat i Windows SDK. AzureSignTool är en gratis, open source-tillägg som lägger till Azure Key Vault-stöd. Tillsammans täcker de de vanligaste Windows code signing-arbetsflödena.

Båda verktygen signerar alla standard Windows-filtyper: .exe, .dll, .msi, .msix, .cab, .ps1, .appx och .sys. Välj signtool.exe för USB-token och lokal certificate store, eller AzureSignTool för molnbaserad signering med Azure Key Vault.

Vad är AzureSignTool?

dotnet tool install --global AzureSignTool

AzureSignTool sign \
  -kvu https://your-vault.vault.azure.net \
  -kvc YourCertName \
  -kvt your-tenant-id \
  -kvi your-client-id \
  -kvs your-client-secret \
  -fd sha256 \
  -tr http://timestamp.digicert.com \
  -td sha256 \
  "MyApp.exe"

Vanliga signtool-kommandon

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a "MyApp.exe"

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /sha1 ABCDEF1234567890 "MyApp.exe"

signtool verify /pa /v "MyApp.exe"

signtool sign /fd sha256 /tr http://timestamp.digicert.com /td sha256 /a *.exe

CI/CD pipeline-exempel

AzureSignTool integreras i Azure DevOps, GitHub Actions och GitLab CI. Här är exempel för de vanligaste pipelines:

Azure DevOps

- task: DotNetCoreCLI@2
  displayName: 'Install AzureSignTool'
  inputs:
    command: 'custom'
    custom: 'tool'
    arguments: 'install --global AzureSignTool'

- script: |
    AzureSignTool sign \
      -kvu $(KeyVaultUrl) \
      -kvc $(CertificateName) \
      -kvt $(TenantId) \
      -kvi $(ClientId) \
      -kvs $(ClientSecret) \
      -fd sha256 \
      -tr http://timestamp.digicert.com \
      -td sha256 \
      "$(Build.ArtifactStagingDirectory)\**\*.exe"
  displayName: 'Sign executables'

GitHub Actions

- name: Install AzureSignTool
  run: dotnet tool install --global AzureSignTool

- name: Sign executables
  run: |
    AzureSignTool sign \
      -kvu ${{ secrets.KEY_VAULT_URL }} \
      -kvc ${{ secrets.CERT_NAME }} \
      -kvt ${{ secrets.TENANT_ID }} \
      -kvi ${{ secrets.CLIENT_ID }} \
      -kvs ${{ secrets.CLIENT_SECRET }} \
      -fd sha256 \
      -tr http://timestamp.digicert.com \
      -td sha256 \
      "MyApp.exe"

Lagra Key Vault-uppgifter som pipeline-variabler eller secrets. Använd Azure RBAC med en managed identity för nyckelfri autentisering.