AzureDevOpsを使用したコード署名

このチュートリアルでは、Azure Key Vaultに格納されている証明書を使用して、AzureDevOpsでコード署名する方法を紹介します。 これらの指示に従うには、次のものが必要です。

• An Azureアカウント
• A DevOpsプロジェクト
• A キーボールト
• A コード署名証明書 KeyVaultにインストールされています。 次のいずれかを実行できます。
  • 生成する CSR KeyVaultに証明書をインストールします or
  • 証明書をKeyVaultにインポートします

Azureアプリケーションを登録する

まず、Key Vaultに接続して署名できるように、新しいAzureアプリケーションを登録する必要があります。

1. サインイン Azureのポータル.
   
2. MFAデバイスに移動する Azure Active Directory。 （クリック その他のサービス Azure Active Directoryアイコンが表示されていない場合。）
   
3. 詳しくはこちら アプリの登録、左の列。
   
4. 詳しくはこちら 新規登録.
   
5. アプリケーションに 名前 をクリックして 会員登録する ボタン。 他の設定はデフォルト値のままにします。
   
6. 新しいアプリケーションが登録されました。 に表示されている値をコピーして保存します アプリケーション（クライアント）ID、後で必要になるためです。
   

クライアントシークレットを作成する

次に、クライアントシークレットを生成します。これは、署名時に資格情報として機能します。

1. 詳しくはこちら 証明書と秘密 左側のメニューにあります。
   
2. 詳しくはこちら 新しいクライアントの秘密.
   
3. クライアントに秘密を与える 詳細説明 、必要に応じて有効期限を設定し、をクリックします 追加
   
4. コピー 値 あなたの新しいクライアントの秘密の 直ちに 安全な場所に保管してください。 次回ページが更新されると、この値はマスクされて取得できなくなります。
   
   

KeyVaultでアクセスを有効にする

次に、Azure KeyVaultでアプリケーションへのアクセスを有効にする必要があります。

1. 署名に使用する証明書が含まれているKeyVaultに移動し、[ アクセスポリシー リンクをクリックします。
   
2. 詳しくはこちら アクセスポリシーの追加.
   
3. 主な権限、イネーブル Verify,  Sign, Get, List.
   
4. 秘密の許可、イネーブル Get (NAIST) と List.
   
5. 証明書のアクセス許可、イネーブル Get (NAIST) と List.
   
6. クリック 何も選択されていません リンク、下 プリンシパルを選択、次に検索フィールドを使用して、前のセクションで作成したアプリケーションを見つけて選択します。
   
7. クリック 選択
   
8. クリック 追加
   
9. 詳しくはこちら Save.
   
10. アクセスポリシーが設定されています。
    

DevOpsビルドを構成する

これで、ビルドを構成できます。 AzureDevOpsでプロジェクトを開きます。

アプリケーション資格情報を変数として保存する

アプリケーションIDとクライアントシークレットをYAMLパイプラインファイルに直接含めることもできますが、それらを変数としてDevOpsに保存するとより安全になります。

1. 詳しくはこちら パイプライン.
   
2. 詳しくはこちら 図書館.
   
3. 詳しくはこちら +変数グループ.
   
4. 変数グループに名前を付けます。
   
5. 詳しくはこちら 追加.
   
6. アプリケーションIDの変数名を入力し、値を貼り付けます。 終了したら、ロックをクリックして変数を暗号化します。
   
7. このプロセスを繰り返して、クライアントシークレットの変数を追加します。
   
8. 詳しくはこちら Save.
   
9. パイプラインの変数グループをリンクします。 （VARIABLE-GROUPを実際の変数グループの名前に置き換えます。）

   変数：-グループ： 'VARIABLE-GROUP'

パイプラインステップを追加してAzureSignToolをインストールする

Azureサインツール を提供するオープンソースユーティリティです サインツール Azure KeyVaultに格納されている証明書とキーの機能。 パイプラインに次の手順を追加して、Azure SignToolをインストールします。

-タスク：DotNetCoreCLI @ 2入力：​​コマンド： 'カスタム'カスタム： 'ツール'引数： 'インストール--globalazuresigntool' displayName：AzureSignToolをインストールします

Azure SignToolコマンドをパイプラインに追加する

1. これで、コードに署名するタスクをパイプラインに追加できます。 次の情報が必要になります。
   • あなたの キーボールトURI （Azureポータルで利用可能）：
     
   • Key Vaultでの証明書のフレンドリ名：
     
   • あなたの アプリケーションID (NAIST) と クライアントシークレット 変数名：
     
2. Azure SignTool呼び出しをパイプラインに追加します。 ALL-CAPSに表示されている値を実際の値に置き換えます。

   -タスク：CmdLine @ 2入力：​​スクリプト：AzureSignTool sign -kvu "KEY-VAULT-URI" -kvi "$（APPLICATION-ID-VAR）" -kvs "$（CLIENT-SECRET-VAR）" -kvc CERTIFICATE-NAME -tr "http://ts.ssl.com" -td sha256 "FILE-TO-SIGN" displayName：サインコード

3. 署名が成功すると、次のような出力が表示されます。

   情報：AzureSignTool.Program [0] =>ファイル：D：\ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe署名ファイルD：\ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exe情報：AzureSignTool。 Program [0] =>ファイル：D：\ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exeファイルD：\ a \ 1 \ s \ x64 \ Debug \ HelloWorld.exeの署名が正常に完了しました。