Microsoft Authenticode 代码签名 ( EV ) + Google Cloud HSM？

Question

我们公司在 eToken USB 加密狗上使用 EV 协同签名证书，但我们目前计划将构建和签名过程移至云中的虚拟服务器，一切都很好，除了一件事，那就是协同签名过程，GlobalSign 允许将证书存储在USB 加密狗或 HSM。我认为 HSM 可以完成这项工作，有人可以建议云 HSM 的最佳实践吗？我发现谷歌云提供了谷歌云HSM，但是如何连接signtool.exe这个服务？

Answer 1

如果您不介意使用其他签名工具，Jsign开箱即用地支持 Google Cloud HSM（不需要 PKCS#11 模块）：

jsign --storetype GOOGLECLOUD --storepass <api-access-token> \
      --keystore projects/first-rain-123/locations/global/keyRings/mykeyring \
      --alias test --certfile full-chain.pem application.exe

（免责声明：我是这个开源项目的主要作者）

困难的部分是让 GlobalSign 为存储在 Google Cloud HSM 中的私钥颁发证书（这通常涉及审核过程以证明密钥是由 HSM 正确生成的，或提供证明证书）。