如何通过RDP使用Sectigo EV代码签名令牌恢复原有签名配置？

RDP会话与组策略配置 #

• 每次建立RDP连接时，务必在「本地资源」标签页的「本地设备和资源」中勾选智能卡选项；也可以直接用命令行启动RDP：mstsc /smartcard，强制启用智能卡重定向。
• 检查本地与远程机器的组策略：
  • 本地机：「计算机配置→管理模板→Windows组件→远程桌面服务→远程桌面连接客户端→允许智能卡重定向」设置为启用。
  • 远程机：「计算机配置→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→设备和资源重定向→允许智能卡重定向」设置为启用。
• 确保远程机器的「远程桌面会话主机配置」中，RDP-Tcp连接的「客户端设置」里，没有禁用智能卡设备重定向。

SafeNet客户端适配设置 #

• 本地和远程机器都安装对应新令牌版本的SafeNet Authentication Client，旧驱动可能无法识别新续期的令牌，安装后重启两台设备。
• 本地机打开SafeNet客户端，确认令牌被正常识别，右键令牌查看「证书」选项卡，确保EV代码签名证书状态有效、用途包含「代码签名」。
• 远程机的SafeNet客户端中，找到「高级设置」→「远程桌面」，勾选启用远程桌面智能卡重定向支持（部分版本路径可能略有不同，可参考客户端帮助文档）。

证书识别与签名命令优化 #

• 在远程机器上打开certmgr.msc，查看「个人→证书」目录，确认是否有从本地令牌重定向过来的证书。如果未显示，尝试重新插拔令牌后重新连接RDP。
• 修改签名批处理，直接指定证书指纹来避免识别歧义：

  signtool sign /sha1 <证书指纹> /t http://timestamp.sectigo.com /v <目标文件路径>
  

  证书指纹可在本地机的证书属性→「详细信息」→「指纹」中获取，复制时注意去除空格。
• 确保执行签名作业的用户账号，在远程机的「本地安全策略→本地策略→用户权限分配」中，被添加到「允许通过远程桌面服务登录」和「智能卡登录」权限组中。

防火墙与Azure网络配置 #

• 本地和远程机器的Windows防火墙，允许TCP 135端口（DCOM通信）以及动态RPC端口流量；如果需要固定RPC端口，可通过组策略配置端口范围后，开放对应端口段。
• 若远程机器是Azure VM，检查网络安全组（NSG）的入站规则，确保允许RDP（3389）以及智能卡重定向所需的RPC流量通过。

令牌权限验证 #

• 联系Sectigo确认新续期的令牌是否开启了远程重定向权限，部分令牌续期后会默认关闭远程使用权限，需要手动开启。
• 在本地机用SafeNet客户端的「诊断工具」测试令牌连接，确认硬件和驱动无问题；再在RDP会话中运行该诊断工具，检查远程端是否能正常识别令牌。

内容的提问来源于stack exchange，提问作者Thomas Woelfer