Kód aláírás az Azure Key Vault használatával

Ez az oktatóanyag megmutatja, hogyan lehet fájlokat aláírni a Windows parancssorából egy kód-aláíró tanúsítvánnyal és az Azure Key Vault tárolt magánkulccsal. Ezen utasítások követéséhez szüksége lesz:

• An Azure-fiók
• A Key Vault
• A kód aláíró tanúsítvány telepítve van a Key Vault-ba. A következőket teheti:
  • Generáljon a CSR és telepítsen egy tanúsítványt a Key Vault-ba or
  • Tanúsítvány importálása a Key Vaultba
• Azure Sign Tool telepítve van az aláírásra használt számítógépre

Mi az Azure Sign Tool?

Azure Sign Tool egy nyílt forráskódú segédprogram, amely kínál SignTool az Azure Key Vault tárolt tanúsítványok és kulcsok funkcionalitása. Az Azure Sign Tool eszközt a következő paranccsal telepítheti a Windows PowerShellben (szükséges .NET SDK):

dotnet tool install --global AzureSignTool

1. lépés: Új Azure-alkalmazás regisztrálása

Először regisztrálnia kell egy új Azure alkalmazást, hogy csatlakozhasson a Key Vault aláírásához.

1. Jelentkezzen be a Azure portál.
   
2. navigáljon Azure Active Directory. (kattintson További szolgáltatások ha az Azure Active Directory ikon nem látható.)
   
3. Kattints Alkalmazásregisztrációk, a bal oszlopban.
   
4. Kattints Új regisztráció.
   
5. Adja meg jelentkezését a Név és kattintson a Regisztráció gomb. Hagyja a többi beállítást az alapértelmezett értéken.
   
6. Új kérelmét regisztráltuk. Másolja és mentse a (z) értéket Alkalmazás (kliens) azonosító, mert később szüksége lesz rá.
   
7. Kattints Hitelesítés.
   
8. Alatt Speciális beállítások, beállítva Nyilvános ügyfélfolyamatok engedélyezése nak nek Yes.
   
9. Kattints Megtakarítás.
   

2. lépés: Hozzon létre egy ügyféltitkot

Ezután hozzon létre egy ügyféltitkot, amely hitelesítő adatként szolgál majd az aláíráskor.

1. Kattints Tanúsítványok és titkok a bal oldali menüben.
   
2. Kattints Új ügyfél titok.
   
3. Adja meg ügyfelének a titkot a Leírás, állítsa be a lejáratot tetszés szerint, majd kattintson a gombra hozzáad gombot.
   
4. Másolja a Érték az új ügyféltitok azonnal és biztonságos helyen tárolja. Az oldal legközelebbi frissítésekor ez az érték maszkos lesz és visszavonhatatlan.
   

3. lépés: Engedélyezze a hozzáférést a Key Vaultban

Most engedélyeznie kell az alkalmazás hozzáférését az Azure Key Vault alkalmazásban.

1. Keresse meg az aláíráshoz használni kívánt tanúsítványt tartalmazó Kulcstartót, majd kattintson a gombra Hozzáférési irányelvek link.
   
2. Kattints Hozzáférési házirend hozzáadása.
   
3. Alatt Kulcsengedélyek, engedélyezze Sign.
   
4. Alatt Tanúsítvány engedélyek, engedélyezze Get.
   
5. Kattintson az Egy sincs kiválasztva link alatt Válassza ki a megbízót, majd a keresőmező segítségével keresse meg és válassza ki az előző szakaszban létrehozott alkalmazást.
   
6. Kattintson az választ gombot.
   
7. Kattintson az hozzáad gombot.
   
8. Kattints Megtakarítás.
   
9. A hozzáférési házirend be van állítva, és készen áll a fájlok aláírására.
   

4. lépés: Írjon alá egy fájlt

Most végre készen áll arra, hogy aláírjon egy kódot!

1. A következő információkra lesz szüksége:
   • A te Key Vault URI (elérhető az Azure portálon):
     
   • A barátságos név tanúsítványának kulcsa a Vault-ban:
     
   • A Alkalmazás (kliens) azonosító érték az Azure alkalmazásból:
     
   • A titkos vásárló amit fent generáltál:
     
2. Az alábbiakban bemutatunk egy példát a PowerShell-ben a fájl aláírására és időbélyegzésére az Azure Sign Tool eszközzel. Cserélje ki az ALL CAPS értékeit az aktuális információkra:

   azureigntool jel -kvu KULCS-VAULT-URI -kvc TANÚSÍTVÁNY-Név -kvi APPLICATION-CLIENT-ID -kvs CLIENT-SECRET -tr http://ts.ssl.com/ -td sha256 PATH-TO-EXECUTABLE

   Jegyzet: Alapértelmezés szerint az SSL.com támogatja az ECDSA kulcsokból származó időbélyegeket.
   
   Ha ezt a hibát tapasztalja: The timestamp certificate does not meet a minimum public key length requirement, vegye fel a kapcsolatot a szoftver szállítójával, hogy engedélyezze az időbélyegeket az ECDSA-kulcsokból.
   
   Ha a szoftvergyártó nem tudja engedélyezni a normál végpont használatát, használhatja ezt a régi végpontot. http://ts.ssl.com/legacy hogy időbélyeget kapjon egy RSA időbélyegző egységtől.
3. Ha az aláírás sikeres, akkor a következő kimenetet kell látnia (a sikertelen aláírás nem eredményez kimenetet):

   info: AzureSignTool.Program [0] => Fájl: test.exe A test.exe fájl aláírási információ: AzureSignTool.Program [0] => Fájl: test.exe Az aláírás sikeresen befejeződött a test.exe fájlhoz. info PS C: \ Users \ Aaron Russell \ Desktop>

4. Az új digitális aláírással kapcsolatos részletek a fájl tulajdonságaiban lesznek elérhetőek: