如何将Google HSM与jarsigner集成实现Jar文件签名

之前我使用Ant的signjar任务完成Jar文件签名，原配置如下：

<target name="task.sign.jars">
    <signjar 
        alias="my-alias" 
        keystore="my-keystore.jks" 
        keypass="123456" 
        storepass="123456"
        tsaurl="http://timestamp.digicert.com"
        lazy="true">
        <path>
            <fileset dir="${deploy.dir}/jars/" includes="**/*.jar" />
        </path>
    </signjar>
</target>

原签名使用的my-keystore.jks由已过期的旧版EV代码签名证书生成，现在新的代码签名证书存储在Google HSM平台，我持有PEM格式的公钥以及Google Cloud API访问令牌，需要一套包含示例的集成方案，实现用Google HSM中的私钥搭配PEM公钥完成和上述Ant任务一致的Jar签名操作。

内容的提问来源于stack exchange，提问作者Carlos Spohr