共用方式為

使用信任簽署來簽署 CI 原則

  • 發行項

本文說明如何使用信任簽署服務來簽署新的程式碼完整性 (CI) 原則。

必要條件

若要完成本文的步驟，您需要：

簽署 CI 原則

  1. 開啟 PowerShell 7。

  2. 您可以選擇性地建立 metadata.json 檔案，類似以下範例：("Endpoint" URI 值必須是與您在設定這些資源時建立信任簽署帳戶和憑證設定檔的區域一致的 URI。)

    {
"Endpoint":"https://xxx.codesigning.azure.net/",
"CodeSigningAccountName":"<Trusted Signing Account Name>",
"CertificateProfileName":"<Certificate Profile Name>"
}

  3. 取得您想要新增至信任存放區的根憑證：

    Get-AzCodeSigningRootCert -AccountName TestAccount -ProfileName TestCertProfile -EndpointUrl https://xxx.codesigning.azure.net/ -Destination c:\temp\root.cer

    如果您使用 metadata.json 檔案，請改為執行此命令：

    Get-AzCodeSigningRootCert -MetadataFilePath C:\temp\metadata.json https://xxx.codesigning.azure.net/ -Destination c:\temp\root.cer

  4. 若要取得擴充金鑰使用方法 (EKU) 以插入您的原則：

    Get-AzCodeSigningCustomerEku -AccountName TestAccount -ProfileName TestCertProfile -EndpointUrl https://xxx.codesigning.azure.net/

    如果您使用 metadata.json 檔案，請改為執行此命令：

    Get-AzCodeSigningCustomerEku -MetadataFilePath C:\temp\metadata.json

  5. 若要簽署您的原則，請執行 invoke 命令：

    Invoke-AzCodeSigningCIPolicySigning -accountName TestAccount -profileName TestCertProfile -endpointurl "https://xxx.codesigning.azure.net/" -Path C:\Temp\defaultpolicy.bin -Destination C:\Temp\defaultpolicy_signed.bin -TimeStamperUrl: http://timestamp.acs.microsoft.com

    如果您使用 metadata.json 檔案，請改為執行此命令：

    Invoke-AzCodeSigningCIPolicySigning -MetadataFilePath C:\temp\metadata.json -Path C:\Temp\defaultpolicy.bin -Destination C:\Temp\defaultpolicy_signed.bin -TimeStamperUrl: http://timestamp.acs.microsoft.com

建立及部署 CI 原則

如需建立及部署 CI 原則的步驟，請參閱下列文章：