Azure DevOps流水线适配USB Key Token：免PIN码签名自动化方案咨询

我们用一台搭载USB加密狗（存储签名密钥）的专用PC做应用代码数字签名。发布应用时会弹出SmartCard PIN输入提示，必须手动输入才能完成发布。现在Azure Pipeline因为这个交互需求没法自动化运行，得开发者登录PC手动输入PIN才行。我们想找适配方案：

1. 能不能让流水线和USB硬件密钥配合使用？
2. 有没有不用输入PIN就能用硬件密钥的方式？

之前试过让流水线识别发布暂停状态来自动输入PIN，但流水线根本识别不了这个提示，只会一直执行，没有任何暂停通知。

当前流水线配置如下：

variables:
  poolName: 'Build Machine'
  agentName: [redacted]
  vmImage: 'windows-latest'

pool:
  name: 'Build Machine'

jobs:
- job: BuildAndPublish
  steps:
  - checkout: self
    displayName: 'Checkout Code'

  - task: UseDotNet@2
    inputs:
      packageType: 'sdk'
      version: '8.0.204'

  - task: PowerShell@2
    displayName: Install .NET MAUI
    inputs:
      targetType: 'inline'
      script: |
        & dotnet nuget locals all --clear
        & dotnet workload install maui

  - script: |
      dotnet publish -c Release C:\Users\[redacted]\source\repos\[redacted]\[redacted]\[redacted].csproj -f net8.0-windows10.0.19041.0 /p:GenerateAppxPackageOnBuild=true /p:UapAppxPackageBuildMode=SideloadOnly /p:AppxBundle=Never --output $(Build.ArtifactStagingDirectory)/publish
    displayName: 'Publish Project'

  - task: PublishBuildArtifacts@1
    inputs:
      pathToPublish: '$(Build.ArtifactStagingDirectory)/publish'
      artifactName: 'PublishedApp'
      publishLocation: 'Container'

方案1：配置USB加密狗的免交互模式 #

大部分USB加密狗支持两种免PIN操作方式：

• PIN缓存设置：通过加密狗自带的管理工具，设置PIN缓存时长（比如几小时）。第一次手动输入PIN激活缓存后，后续一段时间内使用密钥无需再输入。要确保构建代理服务启动前，已经完成PIN输入并激活缓存。
• 信任设备绑定：部分高端加密狗支持将专用构建PC设为信任设备，在该设备上使用密钥自动跳过PIN验证。具体操作需参考厂商提供的管理工具和文档，一般通过厂商控制台或配置软件完成绑定。

方案2：用命令行工具自动注入PIN #

如果加密狗厂商提供命令行工具，可以在流水线中预先完成PIN验证，激活密钥会话：

1. 找到加密狗对应的命令行工具（比如PKCS#11标准的pkcs11-tool，或厂商专用签名工具）
2. 在dotnet publish步骤前，添加PowerShell/脚本任务，调用工具完成PIN验证
3. 确保后续dotnet publish的签名配置会复用已激活的会话

示例命令（以PKCS#11工具为例）：

& pkcs11-tool --login --pin "$(PIN_VARIABLE)" --module "C:\Path\To\Your\CryptoDog.dll"

注意：PIN不要明文写在流水线里，用Azure Pipeline的保密变量存储，通过$(PIN_VARIABLE)引用。

方案3：拆分构建与签名环节 #

把流程拆成两个独立阶段，避免构建过程依赖交互：

1. 构建阶段：在普通代理上完成编译、打包，生成未签名的安装包，上传到Azure Artifacts
2. 签名阶段：在专用PC上运行签名任务，用厂商命令行签名工具（支持非交互式PIN输入）加载未签名包，完成签名后发布最终包

这种方式可以把交互风险控制在签名环节，配合PIN缓存能实现半自动运行。

方案4：用Azure Key Vault替代USB加密狗（长期自动化方案） #

如果允许替换硬件密钥，把签名证书导入Azure Key Vault，实现全自动化签名：

1. 从USB加密狗导出证书（需厂商支持导出为PFX格式，注意保护私钥安全）
2. 将PFX证书导入Azure Key Vault，配置为可用于签名的密钥
3. 修改流水线，用SignTool@2任务配合Key Vault完成签名，或在dotnet publish中添加参数直接调用Key Vault签名服务

这是最彻底的自动化方案，适合长期稳定的CI/CD流程。

内容的提问来源于stack exchange，提问作者Coop