Azure Trusted Signing

Azure Trusted Signing

Azure Trusted Signing 是 Microsoft 针对代码签名的现代解决方案。这是一项基于云的服务，消除了代码签名的许多传统痛点。您无需管理硬件令牌、手动续订证书以及担心密钥安全，而是可以直接将签名集成到 CI/CD 管道中，让 Azure 处理其余事项。

传统的代码签名方法需要从证书颁发机构购买证书，将私钥存储在硬件令牌上，并在每次需要签名应用程序时使用该令牌。这个过程非常繁琐，尤其对于自动化构建管道。硬件令牌可能发生故障、丢失，或者每次签名操作都需要物理插入到机器中。

Azure Trusted Signing 通过将签名密钥保留在 Microsoft 安全的云基础设施中来解决这些问题。您永远无法直接访问私钥。相反，您使用自己的身份向 Azure 进行身份验证，Azure 代表您执行签名操作。这意味着无需硬件令牌、无需密钥管理、无需手动步骤。签名作为构建过程的一部分自动发生。

设置 Azure Trusted Signing 非常简单。您在 Azure 订阅中创建签名资源，配置签名策略，然后使用 Azure 签名工具或 CI/CD 管道中内置的签名功能。Azure Trusted Signing 支持可执行文件和 DLL 的 Authenticode 签名，以及 MSIX 和 AppX 包签名。它正迅速成为签署 Windows 应用程序的标准方式，尤其是对于使用现代 DevOps 实践的团队。