为什么 signtool.exe 在以管理员身份运行时只能找到证书？

Question

我正在安装一台新的开发笔记本电脑，并安装了一个自行颁发的代码签名证书。我可以在我当前用户的个人证书下的 certmgr 中看到它。

当我尝试从 Visual Studio 2017 的开发人员命令提示符构建时，我得到：
error : SignTool Error: No certificates were found that met all the given criteria.

这在我的旧笔记本电脑上总是很好用。

我发现如果我在以管理员身份启动后从命令提示符运行相同的构建，signtool 会成功并且可以找到证书。

当我们安装新的笔记本电脑时，3/4 的同事发生了这种情况。一个人没问题，无需以管理员身份运行即可签名。在我们的旧笔记本电脑上，我们永远不必以管理员身份运行。

我试过用谷歌搜索找出可能是什么原因，因为我不知道以管理员身份运行与否应该对此产生任何影响。我还没有找到对这个问题的任何参考。

我们如何在不以管理员身份运行的情况下使用 signtool.exe？

当不以管理员身份运行时，它似乎在私钥过滤步骤中，我希望选择的证书被过滤掉：

**********************************************************************
** Visual Studio 2017 Developer Command Prompt v15.9.12
** Copyright (c) 2017 Microsoft Corporation
**********************************************************************

C:\>signtool sign /v /debug /ph  /i "<issuedby>"  /fd sha256 /td sha256 "C:\TestSign.dll"

The following certificates were considered:
    Issued to: Scott Langham
    Issued by: <issuedby>
    Expires:   Sun Sep 25 09:54:55 2022
    SHA1 hash: <a_hash>

    Issued to: Scott Langham
    Issued by: <issuedby_somethingelse>
    Expires:   Wed May 13 15:51:14 2020
    SHA1 hash: <b_hash>

After EKU filter, 1 certs were left.
After expiry filter, 1 certs were left.
After Issuer Name filter, 1 certs were left.
After Private Key filter, 0 certs were left.
SignTool Error: No certificates were found that met all the given criteria.

我已确保我使用的 signtool.exe 版本与我的同事正在使用的版本相同 (10.0.18362.1)。我已经能够发现我们系统之间的任何其他差异。

Answer 1

我今天遇到了这个问题，现在我可以通过命令行运行signtool.exe，而无需提升到管理员权限。

• 运行“mmc”并添加“证书”管理单元
• 选择正确的密钥存储位置
  • （我的在本地计算机中，所以我在这里选择“计算机帐户”）
• 查找并选择证书
• 右键单击证书，选择所有任务 > 管理私钥...

• 在“私钥权限”对话框中，添加您的用户帐户，然后授予自己“完全控制权”。您现在可以使用普通命令提示符进行签名。

• 注意：如果您使用构建机器，请为执行构建的帐户执行上述步骤。