2024年Azure DevOps构建流水线代码签名优化及PFX证书适配问询

1. 2024年.pfx文件是否仍可用于代码签名？ #

• 旧的已导出.pfx文件：只要证书未过期、私钥未泄露，可正常继续用于代码签名。
• 2024年新购的DigiCert标准代码签名证书：确实无法获取.pfx格式文件。这是因为DigiCert从2022年11月起实施新规，要求这类证书的私钥必须存储在经认证的硬件安全模块（HSM）或符合FIPS 140-2/140-3标准的密钥存储中，禁止导出为可移动的.pfx（PKCS#12）格式，以此避免私钥泄露风险。

2. 现有依赖带密码.pfx的构建流水线如何适配？ #

当前依赖手动上传.pfx并输入密码的流水线流程，已经不符合新证书的安全要求，必须调整为基于安全密钥托管的签名流程，避免直接处理明文私钥和.pfx文件。

3. 更新流程的最简方式及Azure/ADO内置方案 #

最简方案是利用Azure生态的密钥管理与ADO流水线原生集成能力，全程无需手动处理证书文件：

• 第一步：将DigiCert证书导入Azure Key Vault
  通过DigiCert的管理平台可直接将证书部署至Azure Key Vault（支持HSM托管密钥，满足DigiCert的私钥存储合规要求），全程无需导出私钥。
• 第二步：配置ADO流水线权限
  为ADO流水线的服务主体分配Azure Key Vault的「证书读取」权限，确保流水线能够安全拉取证书资源。
• 第三步：流水线中集成签名任务
  在ADO流水线中添加「Azure Key Vault」任务，指定目标Key Vault名称及需拉取的证书；随后使用「SignTool」任务或Azure官方的「Code Signing」任务，直接调用从Key Vault获取的证书完成代码签名，无需处理.pfx文件和密码。

合规规则参考 #

DigiCert于2022年11月起对标准代码签名证书实施私钥存储强制新规：私钥必须存储在经认证的硬件安全模块（HSM）或符合FIPS 140-2/140-3标准的密钥存储中，禁止将私钥导出为可移动的.pfx（PKCS#12）格式，以此提升代码签名的安全性，防范私钥泄露风险。

内容的提问来源于stack exchange，提问作者amartin