web-dev-qa-db-ja.com

PowerShellスクリプトに署名するためのWindowsでのコード署名証明書の作成

このガイド によると、PowerShellスクリプトに署名するための証明書を作成しようとしました：

CD C:\OpenSSL-Win32\bin
REM Create the key for the Certificate Authority.  2048 is the bit encryptiong, you can set it whatever you want
openssl genrsa -out C:\Test\ca.key 2048
openssl req -config C:\OpenSSL-Win32\bin\openssl.cfg -new -x509 -days 1826 -key C:\Test\ca.key -out C:\Test\ca.crt
REM Now I'm creating the private key that will be for the actual code signing cert
openssl genrsa -out C:\Test\codesign.key 2048
openssl req -config C:\OpenSSL-Win32\bin\openssl.cfg -new -key C:\Test\codesign.key -reqexts v3_req -out C:\Test\codesign.csr
openssl x509 -req -days 1826 -in C:\Test\codesign.csr -CA C:\Test\ca.crt -CAkey C:\Test\ca.key -extfile C:\OpenSSL-Win32\bin\cnf\opensslTest.cnf -set_serial 01 -out C:\Test\codesign.crt
openssl pkcs12 -export -out C:\Test\codesign.pfx -inkey C:\Test\codesign.key -in C:\Test\codesign.crt

次のエラーが発生します。

C:\OpenSSL-Win32\bin>openssl x509 -req -days 1826 -in C:\Test\codesign.csr -CA C:\Test\ca.crt -CAkey C:\Test\ca.key -extfile C:\OpenSSL-Win32\bin\cnf\openssl.cnf -set_serial 01 -out C:\Test\codesign.crt
Error Loading extension section default
14516:error:22097082:X509 V3 routines:do_ext_nconf:unknown extension name:crypto\x509v3\v3_conf.c:78:
14516:error:22098080:X509 V3 routines:X509V3_EXT_nconf:error in extension:crypto\x509v3\v3_conf.c:47:name=HOME, value=.

OpenSSL v1.1.0c を使用しました。私が見つけた他のすべてのガイドは、コード署名に使用できない証明書を作成します。

windowspowershellopensslcertificate
5
Antineutrino

WindowsのOpenSSLでは必要ありません。 Windows 7では、TechNetスクリプトギャラリーで公開した自分のPowerShellスクリプトを使用できます： 自己署名証明書ジェネレーター（PowerShell） 。使用方法は次のようになります。

New-SelfsignedCertificateEx -Subject "CN=Test Code Signing" `
-EKU "Code Signing" `
-KeySpec "Signature" `
-KeyUsage "DigitalSignature" `
-FriendlyName "Test code signing" `
-NotAfter $([datetime]::now.AddYears(5))

（最初の例）。

Windows 8以降では、組み込みのcertreq.exe証明書を生成するツール。証明書の構成を含むINFファイルを作成します。例：

[NewRequest]
Subject = "CN=Test Code Signing"
KeyLength = 2048
KeyAlgorithm = RSA
ProviderName = "Microsoft Enhanced RSA and AES Cryptographic Provider"
MachineKeySet = false
Exportable = true
KeySpec = 2
KeyUsage = 0x80
RequestType = Cert
[EnhancedKeyUsageExtension]
OID=1.3.6.1.5.5.7.3.3 ; Code signing

次に、次のコマンドを実行します。

Certreq –new path\inffilename.inf

これにより、証明書が生成され、現在のユーザーの証明書ストアにインストールされます。

Windows 10以降では、次のように組み込みのPowerShellコマンドレットを使用できます。

New-SelfSignedCertificate -CertStoreLocation cert:\currentuser\my `
-Subject "CN=Test Code Signing" `
-KeyAlgorithm RSA `
-KeyLength 2048 `
-Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" `
-KeyExportPolicy Exportable `
-KeyUsage DigitalSignature `
-Type CodeSigningCert

ただし、実稼働環境でのコード署名に自己署名証明書を使用することはお勧めしません。テスト環境でのみ使用してください。

個人使用の場合（組織内のみ）、会社がすでにPKIインフラストラクチャを所有しているかどうかを確認し、適切な担当者に連絡して、会社が承認したコード署名証明書を受け取る必要があります。

公開スクリプト（ソフトウェアパッケージと一緒に配布する、または顧客にスクリプトを配信する）の場合、世界的に信頼されている商用CAプロバイダーからコード署名を購入することをお勧めします。

15
Crypt32