hudson - 如何在作为服务运行的 hudson 中正确使用 signtool.exe？

Question

我刚刚从 THAWTE 购买了一个代码签名证书(MS 验证码)，并且显然已将它安装在我的构建机器上。我以用户身份登录，当我打开 cmd 提示符时，我可以使用带有 signtool.exe 的证书对 EXE 进行签名。

不幸的是，同样的命令行在机器上运行的 hudson 进程中不起作用。

我得到的错误信息是:

SignTool Error: No certificates were found that met all the given criteria.

我认为这是因为 hudson 服务在不同的帐户下运行，而不是我从我用来从 thawte 获取证书的帐户运行 signtool.exe 的帐户。

所以，我的问题是:我该如何解决这个问题？我以为我要从 thawte 下载一个文件，但它只是使用 IE 以某种方式神奇地将证书安装在用户的缓存中。我可能想导出(或任何正确的术语)到我可以在任何其他机器上存储/保存或使用的文件。

我该怎么做以及如何使用系统/服务帐户中其他用户的文件或证书正确调用signtool？

Answer 1

取自 signtool sign -h输出:

/s <name>   Specify the Store to open when searching for the cert. The default
is the "MY" Store.
/sm         Open a Machine store instead of a User store.

让它工作有点痛苦......我能够通过将证书添加到本地机器存储并使用/sm 开关来让它工作。

/s 开关允许您选择要使用的预定义存储。不幸的是，我找不到任何列出实际可用选项的文档(@Microsoft signtool 维护者:请记录一下!)。另一个复杂因素是很难确定 Hudson 提供访问哪个商店 - 它不是您可能期望的本地安全 hudson 帐户。

注意:当从 signtool 访问时，mmc View 中列出的“个人”存储是“我的”存储。

幸好/sm 开关为我们提供了一张越狱卡。不幸的是，如果您的构建服务器为多个组织或部门运行作业，这将是一个安全风险。就我而言，它仅由我的团队使用，所以这不会打扰我。