如何将SafeNet中的Sectigo EV证书导出为带私钥的PFX文件用于Azure CI/CD

你没有遗漏相关导出选项。Sectigo通过USB硬件令牌下发的EV代码签名证书，默认在SafeNet客户端和令牌硬件层面双重禁用了私钥导出权限，这是预设的强制安全策略，常规操作下不会显示私钥导出入口，即使获得本地设备最高权限也无法导出私钥。

EV代码签名证书的私钥确实不允许提取，这是CA/Browser论坛对EV类证书的强制合规要求，所有正规CA签发的EV代码签名证书必须将私钥存储在符合FIPS 140-2及以上安全等级的硬件安全模块（HSM）中，禁止私钥脱离硬件设备明文导出，因此你无法像普通OV代码签名证书一样导出包含私钥的PFX文件。

• 方案1：使用Azure托管HSM服务。你可以向Sectigo申请将EV证书直接签发到Azure Key Vault的托管HSM实例中，无需使用物理USB令牌。Electron生态的签名工具（如electron-builder）已原生支持调用Azure Key Vault完成签名，你只需在CI/CD流程中配置好Key Vault的访问权限和证书ID即可，不需要本地PFX文件。
• 方案2：部署本地签名代理节点。你可以在自有可控环境中部署一台常驻的签名服务器，将USB令牌插在该服务器上，在Azure CI/CD流程中将待签名的应用包通过加密通道传输到签名服务器完成签名后，再回传到CI流程继续后续构建步骤，该方案无需调整现有证书配置，只需额外配置签名代理的权限校验规则即可。
• 方案3：使用Sectigo云签名服务。你可以将现有物理令牌对应的EV证书权限迁移到Sectigo官方的云签名服务中，后续可直接通过signtool或Electron签名工具配置对应API密钥，即可在CI/CD流程中调用云签名能力完成签名，无需使用物理硬件令牌。

请勿尝试通过破解、调试硬件令牌的方式导出私钥，该操作违反EV证书的使用条款，一旦被CA检测到会直接吊销你的证书，且无法申请退款或重新签发。

内容的提问来源于stack exchange，提问作者modmoto