Set-AuthenticodeSignature是否支持Office宏文件签名？

核心结论 #

PowerShell的Set-AuthenticodeSignature和Get-AuthenticodeSignature不支持Office宏文档（比如.docm）的签名与验证——哪怕你已经用signtool.exe完成了合法签名，用这两个命令操作还是会弹出“指定的信任提供者不支持或未知主体指定的表单”错误。

为什么会这样？ #

虽然官方文档说这两个cmdlet支持Subject Interface Package (SIP)格式，但这里的SIP是针对.NET程序集、PowerShell脚本这类Windows标准Authenticode签名场景的实现，和Office宏签名依赖的Office SIP完全不是一回事：

• Office宏签名靠的是Office自身的SIP组件（比如OfficeSIPS.dll），有一套独立的签名逻辑和信任验证机制；
• PowerShell的Authenticode cmdlet只调用Windows核心的Authenticode验证逻辑，根本识别不了Office宏的签名格式。

用PowerShell实现Office宏签名的替代方案 #

既然signtool.exe能正常工作，你可以在PowerShell里直接调用它来封装自动化脚本，这样既保留PowerShell易解析、易集成的优势，又能兼容Office宏签名需求。示例代码如下：

# 获取当前用户证书库中的代码签名证书（取第一个匹配项）
$codeSignCert = Get-ChildItem -Path Cert:\CurrentUser\My -CodeSigningCert | Select-Object -First 1

# 调用signtool签名.docm文件
& signtool.exe sign `
    /f "$($codeSignCert.Pspath)" `
    /t "http://timestamp.digicert.com" `
    /fd SHA256 `
    '.\MyFile.docm'

# 验证签名结果（同样通过signtool实现）
$verifyOutput = & signtool.exe verify /pa '.\MyFile.docm' 2>&1
if ($LASTEXITCODE -eq 0) {
    Write-Host "宏文档签名验证通过"
} else {
    Write-Host "宏文档签名验证失败：$($verifyOutput -join ' ')"
}

额外提醒 #

• 用signtool签完的Office宏文档，别指望用Get-AuthenticodeSignature验证，要么用signtool的verify命令，要么直接在Office里打开文档查看数字签名；
• 要是需要解析signtool的输出结果，PowerShell可以通过捕获LASTEXITCODE和命令输出来做判断，就像上面示例里那样。

内容的提问来源于stack exchange，提问作者wknauf