Codesignatur mit Azure DevOps

Dieses Lernprogramm enthält eine Einführung in die Codesignatur mit Azure DevOps unter Verwendung eines in Azure Key Vault gespeicherten Zertifikats. Um diese Anweisungen zu befolgen, benötigen Sie:

• An Azure-Konto
• A DevOps-Projekt
• A Schlüsseldepot
• A Codesignaturzertifikat in Ihrem Key Vault installiert. Du kannst entweder:
  • Ein generieren CSR und installieren Sie ein Zertifikat in Key Vault or
  • Importieren Sie ein Zertifikat in Key Vault

Registrieren Sie eine Azure-Anwendung

Zunächst müssen Sie eine neue Azure-Anwendung registrieren, damit Sie zum Signieren eine Verbindung zu Ihrem Key Vault herstellen können.

1. Melden Sie sich in der Azure-Portal.
   
2. Navigieren Azure Active Directory. (Klicken Mehr Dienstleistungen wenn das Azure Active Directory-Symbol nicht sichtbar ist.)
   
3. Klicken Sie App-Registrierungenin der linken Spalte.
   
4. Klicken Sie Neuanmeldung.
   
5. Geben Sie Ihrer Bewerbung eine Name Und klicken Sie auf die Registrieren Taste. Belassen Sie die anderen Einstellungen auf ihren Standardwerten.
   
6. Ihre neue Bewerbung wurde registriert. Kopieren und speichern Sie den angezeigten Wert für Anwendungs-ID (Client-ID), weil du es später brauchst.
   

Erstellen Sie ein Client-Geheimnis

Generieren Sie als Nächstes ein Client-Geheimnis, das beim Signieren als Berechtigungsnachweis dient.

1. Klicken Sie Zertifikate & Geheimnisse im linken Menü.
   
2. Klicken Sie Neues Kundengeheimnis.
   
3. Geben Sie Ihrem Kundengeheimnis ein BeschreibungStellen Sie den gewünschten Ablauf ein und klicken Sie auf Speichern .
   
4. Kopieren Sie die Wert Ihres neuen Kundengeheimnisses sofort und bewahren Sie es an einem sicheren Ort auf. Bei der nächsten Aktualisierung der Seite wird dieser Wert maskiert und kann nicht wiederhergestellt werden.
   
   

Aktivieren Sie den Zugriff in Key Vault

Jetzt müssen Sie den Zugriff für Ihre Anwendung in Azure Key Vault aktivieren.

1. Navigieren Sie zum Schlüsseldepot mit dem Zertifikat, das Sie zum Signieren verwenden möchten, und klicken Sie auf Zugriffsrichtlinien Link.
   
2. Klicken Sie Zugriffsrichtlinie hinzufügen.
   
3. Der Schlüsselberechtigungen, aktivieren Verify,  Sign, Get und List.
   
4. Der Geheime Berechtigungen, aktivieren Get und List.
   
5. Der Zertifikatsberechtigungen, aktivieren Get und List.
   
6. Klicken Sie auf die Nichts ausgewählt Link unter Prinzipal auswählenVerwenden Sie dann das Suchfeld, um die Anwendung zu suchen und auszuwählen, die Sie im vorherigen Abschnitt erstellt haben.
   
7. Klicken Sie auf die Select .
   
8. Klicken Sie auf die Speichern .
   
9. Klicken Sie Speichern.
   
10. Ihre Zugriffsrichtlinie ist festgelegt.
    

Konfigurieren Sie DevOps Build

Jetzt können Sie Ihren Build konfigurieren. Öffnen Sie Ihr Projekt in Azure DevOps.

Speichern Sie Anwendungsanmeldeinformationen als Variablen

Sie können Ihre Anwendungs-ID und Ihr Client-Geheimnis direkt in Ihre YAML-Pipeline-Datei aufnehmen. Es ist jedoch sicherer, wenn Sie sie als Variablen in DevOps speichern.

1. Klicken Sie Pipelines.
   
2. Klicken Sie Bibliothek.
   
3. Klicken Sie + Variablengruppe.
   
4. Geben Sie Ihrer Variablengruppe einen Namen.
   
5. Klicken Sie Speichern.
   
6. Geben Sie einen Variablennamen für Ihre Anwendungs-ID ein und fügen Sie den Wert ein. Klicken Sie auf die Sperre, um die Variable zu verschlüsseln, wenn Sie fertig sind.
   
7. Wiederholen Sie den Vorgang, um eine Variable für Ihr Client-Geheimnis hinzuzufügen.
   
8. Klicken Sie Speichern.
   
9. Verknüpfen Sie die Variablengruppe in Ihrer Pipeline. (Ersetzen Sie VARIABLE-GROUP durch den Namen Ihrer tatsächlichen Variablengruppe.)

   Variablen: - Gruppe: 'VARIABLE-GROUP'

Hinzufügen eines Pipeline-Schritts zur Installation des Azure Sign-Tools

Azure Sign-Tool ist ein Open-Source-Dienstprogramm, das bietet SignTool Funktionen für Zertifikate und Schlüssel, die in Azure Key Vault gespeichert sind. Fügen Sie Ihrer Pipeline den folgenden Schritt hinzu, um das Azure Sign Tool zu installieren:

- Aufgabe: DotNetCoreCLI @ 2 Eingaben: Befehl: 'custom' custom: 'tool' Argumente: 'install --global azuresigntool' displayName: Installiere AzureSignTool

Fügen Sie der Pipeline den Azure Sign Tool-Befehl hinzu

1. Jetzt können Sie eine Aufgabe hinzufügen, um Ihren Code in der Pipeline zu signieren. Sie benötigen folgende Informationen:
   • Sie Key Vault-URI (im Azure-Portal verfügbar):
     
   • Der Anzeigename Ihres Zertifikats in Key Vault:
     
   • Sie Anwendungs-ID und Kundengeheimnis Variablennamen:
     
2. Fügen Sie den Azure Sign Tool-Aufruf zu Ihrer Pipeline hinzu. Ersetzen Sie die in ALL-CAPS angezeigten Werte durch Ihre tatsächlichen Werte:

   - Aufgabe: CmdLine @ 2 Eingaben: Skript: AzureSignTool-Zeichen -kvu "KEY-VAULT-URI" -kvi "$ (APPLICATION-ID-VAR)" -kvs "$ (CLIENT-SECRET-VAR)" -kvc CERTIFICATE-NAME -tr "http://ts.ssl.com" -td sha256 "FILE-TO-SIGN" displayName: Sign Code

3. Sie sollten die Ausgabe wie folgt sehen, wenn das Signieren erfolgreich ist:

   info: AzureSignTool.Program [0] => Datei: D: \ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe Signaturdatei D: \ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe info: AzureSignTool. Programm [0] => Datei: D: \ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe Die Signierung für Datei D: \ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe wurde erfolgreich abgeschlossen.