Podpisywanie kodu za pomocą usługi Azure Key Vault

W tym samouczku pokazano, jak podpisywać pliki z wiersza polecenia systemu Windows za pomocą certyfikatu podpisywania kodu i klucza prywatnego przechowywanych w Azure Key Vault. Aby wykonać te instrukcje, będziesz potrzebować:

• An Konto platformy Azure
• A Magazyn kluczy
• A certyfikat podpisywania kodu zainstalowany w Key Vault. Możesz albo:
  • Wygeneruj a CSR i zainstaluj certyfikat w Key Vault or
  • Zaimportuj certyfikat do Key Vault
• Narzędzie Azure Sign Tool zainstalowany na komputerze, którego będziesz używać do podpisywania

Co to jest narzędzie Azure Sign Tool?

Narzędzie Azure Sign Tool to narzędzie typu open source, które oferuje ZnakNarzędzie funkcjonalność dla certyfikatów i kluczy przechowywanych w Azure Key Vault. Narzędzie Azure Sign Tool można zainstalować za pomocą następującego polecenia w programie Windows PowerShell (wymaga SDK .NET):

dotnet tool install --global AzureSignTool

Krok 1: Zarejestruj nową aplikację platformy Azure

Najpierw musisz zarejestrować nową aplikację platformy Azure, aby można było połączyć się z Key Vault w celu podpisania.

1. Zaloguj się do Portal Azure.
   
2. Nawigować do Azure Active Directory. (Kliknij Więcej usług jeśli ikona Azure Active Directory nie jest widoczna).
   
3. Kliknij Rejestracje aplikacji, w lewej kolumnie.
   
4. Kliknij Nowa rejestracja.
   
5. Nadaj swojej aplikacji Imię i kliknij Zarejestruj się przycisk. W pozostałych ustawieniach pozostaw wartości domyślne.
   
6. Twoja nowa aplikacja została zarejestrowana. Skopiuj i zapisz wyświetloną wartość Identyfikator aplikacji (klienta), ponieważ będziesz go potrzebować później.
   
7. Kliknij Uwierzytelnianie.
   
8. Pod Ustawienia zaawansowane, ustaw Zezwalaj na przepływy klientów publicznych do Yes.
   
9. Kliknij Zapisz.
   

Krok 2: Utwórz klucz klienta

Następnie wygeneruj klucz klienta, który będzie służył jako poświadczenie podczas podpisywania.

1. Kliknij Certyfikaty i tajemnice w menu po lewej stronie.
   
2. Kliknij Nowy sekret klienta.
   
3. Podaj tajemnicę swojego klienta Opis, ustaw czas wygaśnięcia zgodnie z potrzebami i kliknij Dodaj przycisk.
   
4. Skopiuj wartość Twojego nowego klucza klienta natychmiast i zapisz go w bezpiecznym miejscu. Następnym razem, gdy strona zostanie odświeżona, ta wartość zostanie zamaskowana i nieodwracalna.
   

Krok 3: Włącz dostęp w Key Vault

Teraz musisz włączyć dostęp do swojej aplikacji w Azure Key Vault.

1. Przejdź do Key Vault zawierającego certyfikat, którego chcesz użyć do podpisywania, i kliknij Zasady dostępu łącze.
   
2. Kliknij Dodaj zasady dostępu.
   
3. Pod Kluczowe uprawnienia, włączyć Sign.
   
4. Pod Uprawnienia do certyfikatu, włączyć Get.
   
5. Kliknij Nie wybrano link pod Wybierz głównego zobowiązanego, a następnie użyj pola wyszukiwania, aby zlokalizować i wybrać aplikację utworzoną w poprzedniej sekcji.
   
6. Kliknij Wybierz przycisk.
   
7. Kliknij Dodaj przycisk.
   
8. Kliknij Zapisz.
   
9. Twoja polityka dostępu jest ustawiona i możesz rozpocząć podpisywanie plików.
   

Krok 4: Podpisz plik

Teraz jesteś w końcu gotowy do podpisania kodu!

1. Będziesz potrzebować następujących dostępnych informacji:
   • Twój Identyfikator URI usługi Key Vault (dostępne w Azure Portal):
     
   • Połączenia przyjazne imię Twojego certyfikatu w Key Vault:
     
   • Połączenia Identyfikator aplikacji (klienta) wartość z aplikacji platformy Azure:
     
   • Połączenia tajne shopper wygenerowałeś powyżej:
     
2. Poniżej znajduje się przykładowe polecenie w programie PowerShell do podpisywania i oznaczania czasu pliku za pomocą narzędzia Azure Sign Tool. Zastąp wartości WIELKIMI LITERAMI rzeczywistymi informacjami:

   azuresigntool sign -kvu KEY-VAULT-URI -kvc NAZWA-CERTYFIKATU -kvi APLIKACJA-IDENTYFIKATOR-KLIENTA -kvs KLIENT-SEKRET -tr http://ts.ssl.com/ -td sha256 ŚCIEŻKA-DO WYKONANIA

   Uwaga: Domyślnie SSL.com obsługuje znaczniki czasu z kluczy ECDSA.
   
   Jeśli napotkasz ten błąd: The timestamp certificate does not meet a minimum public key length requirement, należy skontaktować się z dostawcą oprogramowania, aby zezwolił na sygnatury czasowe z kluczy ECDSA.
   
   Jeśli nie ma możliwości, aby dostawca oprogramowania zezwolił na użycie normalnego punktu końcowego, możesz użyć tego starszego punktu końcowego http://ts.ssl.com/legacy aby uzyskać znacznik czasu z jednostki znacznika czasu RSA.
3. Jeśli podpisanie się powiedzie, powinieneś zobaczyć dane wyjściowe takie jak poniżej (nieudane podpisanie nie da wyniku):

   info: AzureSignTool.Program [0] => Plik: test.exe Plik podpisywania test.exe info: AzureSignTool.Program [0] => Plik: test.exe Podpisywanie zakończone pomyślnie dla pliku test.exe. info PS C: \ Users \ Aaron Russell \ Desktop>

4. Szczegóły dotyczące nowego podpisu cyfrowego będą dostępne we właściwościach pliku: