如何在Azure DevOps流水线中合规使用EV代码签名证书？

1. 部署自托管代理连接硬件令牌 #

这是最直接且符合CA要求的方案：

• 在本地搭建一台自托管代理服务器，将硬件令牌（如USB加密狗）物理连接到该服务器，确保驱动安装正确、系统能识别证书
• 配置自托管代理的服务账户拥有访问硬件令牌的权限
• 在Azure DevOps流水线中指定使用该自托管代理执行签名任务
• 使用signtool.exe或.NET签名工具完成操作，命令示例：

  signtool sign /csp "Microsoft Smart Card Key Storage Provider" /k "<密钥容器名>" /tr http://timestamp.digicert.com /td sha256 /fd sha256 "目标二进制文件.dll"
  

  注：/csp参数需匹配硬件令牌对应的加密服务提供商，密钥容器名可通过certutil -scinfo命令获取

2. 采用CA提供的云签名服务 #

部分CA支持云托管的EV签名服务，无需物理操作令牌，通过API调用自动化完成：

• 将硬件令牌注册到CA的云签名平台（如DigiCert ONE、GlobalSign CloudSign）
• 在Azure DevOps流水线中添加调用该服务API的任务，上传待签名的二进制文件
• 服务端通过硬件令牌完成签名后返回已签名文件，流水线继续后续流程
• 优势：无需维护本地代理，全程自动化，严格遵循密钥不导出的要求

3. 迁移证书至Azure Key Vault HSM（需CA支持） #

若CA允许将EV证书迁移到第三方硬件安全模块（HSM），可采用此方案：

• 将EV证书的私钥导入到Azure Key Vault托管的HSM实例，私钥始终在HSM内，无法导出
• 在Azure DevOps流水线中使用Key Vault签名任务或自定义脚本调用API完成签名，PowerShell示例：

  $cert = Get-AzKeyVaultCertificate -VaultName "你的Vault名称" -Name "EV证书名称"
  Invoke-AzKeyVaultKeySign -VaultName "你的Vault名称" -Name $cert.KeyName -Algorithm "RS256" -InputFile "待签名文件.exe"
  # 需配合signtool等工具将签名附加到二进制文件
  

  注：需提前确认CA是否允许此类迁移操作，部分EV证书对私钥存储有严格限制

核心合规要求 #

• 所有方案必须保证私钥始终处于硬件保护状态（令牌或HSM），绝不导出到软件存储
• 签名过程必须启用时间戳（如示例中的/tr参数），符合CA对代码签名的规范
• 自托管代理需保障高可用性，避免中断流水线执行；云服务需验证其合规性，确保符合EV证书使用规则

内容的提问来源于stack exchange，提问作者jeanie77