HSM生成代码签名证书在RDP虚拟机上的使用指南及Azure Vault适配咨询

完全可以用Azure Key Vault（AKV）满足你的需求——AKV的Premium SKU支持生成和存储HSM保护的代码签名证书，私钥全程在HSM中生成且不会导出，完美契合你的流程要求。开发者通过RDP访问虚拟机后，可按以下方式适配三类签名工具：

适配Excel数字签名 #

Excel依赖Windows本地证书存储，你可以把AKV里的HSM证书同步到虚拟机的用户/计算机证书库：

• 给虚拟机的身份（托管身份或服务主体）分配AKV的「Certificate User」权限
• 使用Azure PowerShell或CLI完成证书同步，示例命令：

Get-AzKeyVaultCertificate -VaultName "你的AKV名称" -Name "代码签名证书名" | Export-AzKeyVaultCertificate -FilePath "C:\temp\cert.pfx" | Import-PfxCertificate -CertStoreLocation "Cert:\CurrentUser\My"

同步完成后，打开Excel的数字签名功能就能直接选到该证书，操作和本地证书完全一致。

适配Osslsigncode命令行签名 #

Osslsigncode支持通过PKCS#11接口调用HSM密钥，AKV提供官方PKCS#11驱动，步骤如下：

1. 在虚拟机上安装Azure Key Vault HSM PKCS#11驱动（Windows/Linux版本均有提供）
2. 配置驱动的AKV连接信息（推荐用托管身份认证，无需硬编码凭据）
3. 签名时指定PKCS#11模块路径和密钥ID，示例Linux命令：

osslsigncode sign -pkcs11engine /usr/lib/libakvpkcs11.so -pkcs11module /usr/lib/libakvpkcs11.so -cert <从AKV导出的公证书路径> -keyid <AKV中密钥的UUID> -in input.exe -out signed.exe

Windows环境下替换驱动路径为对应版本的dll文件即可。

适配InstallShield签名 #

InstallShield的证书选择逻辑和Excel一致，只需把AKV的HSM证书同步到虚拟机的本地证书存储（操作同Excel部分），就能在InstallShield的签名配置界面直接选中该证书完成安装包签名，无需额外调整工具设置。

关键注意事项 #

• 必须使用AKV的Premium SKU，仅该层级支持HSM保护的密钥和证书
• 虚拟机访问AKV建议用系统分配的托管身份，避免泄露凭据，同时给身份配置对应权限（签名需「Key Signer」权限，读取证书需「Certificate User」权限）
• 开发者RDP登录虚拟机后，需确保其账号能访问到同步后的证书存储，或通过托管身份间接调用AKV

内容的提问来源于stack exchange，提问作者JonLinux