2023年6月后如何用Azure KeyVault存储的证书签署xlsm文件？

核心困境回顾 #

• 新证书不可导出私钥，传统signtool直接调用的路子走不通
• AzureSignTool不支持XLSM格式，仅签摘要过不了Excel的宏安全校验
• 必须在DevOps流水线自动化完成，不想手动用FIPS设备或YubiKey

可行方案 #

1. 用PowerShell调用Excel COM对象自动签名

直接借助Office的内置签名能力，从证书存储调用不可导出的证书：

• 先确保CI/CD代理机器装了对应版本的Excel，且证书已经导入到本地机器/当前用户的个人证书库（私钥不可导出也没关系）
• 写一段PowerShell脚本完成自动化：

# 初始化Excel对象
$excel = New-Object -ComObject Excel.Application
$excel.Visible = $false
$excel.DisplayAlerts = $false

# 打开目标XLSM文件
$workbook = $excel.Workbooks.Open(".\target.xlsm")

# 根据证书主题名称签名（也可以用证书指纹）
$certSubject = "你的证书主题名"
try {
    $workbook.VBProject.Signature.Sign($certSubject)
    $workbook.Save()
    Write-Host "XLSM宏签名成功"
} catch {
    Write-Error "签名失败：$_"
    exit 1
} finally {
    # 清理资源，避免Excel进程残留
    $workbook.Close()
    $excel.Quit()
    [System.Runtime.Interopservices.Marshal]::ReleaseComObject($workbook) | Out-Null
    [System.Runtime.Interopservices.Marshal]::ReleaseComObject($excel) | Out-Null
    Remove-Variable excel, workbook
}

• 流水线里配置执行这个脚本时，注意给代理足够权限访问证书库（如果是机器级存储，可能需要管理员权限）

2. 用signtool直接调用证书存储

别以为signtool只能用导出的证书，它支持直接从证书存储调用，无需导出私钥：

• 先获取证书的SHA1指纹（可以通过certlm.msc或PowerShell命令Get-ChildItem Cert:\CurrentUser\My查看）
• 执行签名命令：

signtool sign /fd SHA256 /su /sha1 <你的证书SHA1指纹> /t http://timestamp.digicert.com ".\target.xlsm"

注：如果用机器级证书库，把/su换成/sm；部分环境可能需要安装Office的VBA签名组件才能让signtool识别XLSM的签名入口

3. 用第三方Office宏签名工具

找专门做Office宏签名的命令行工具，这类工具原生支持XLSM，且能直接调用本地证书存储，不需要自己写COM调用逻辑

必踩坑提醒 #

• 要在CI/CD代理的Excel信任中心里开启信任对VBA项目对象模型的访问，否则脚本会报错
• 签名后一定要验证：打开XLSM文件，看宏安全提示里是否显示已签名
• 必须加时间戳，不然证书过期后签名会失效

内容的提问来源于stack exchange，提问作者LanceM