Jenkins und Digitale Signatur

[Lemmy]

Servus,

wir mussten mal wieder unser digitales Zertifikat erneuern und ich versuche gerade Jenkins zu überreden das dolle Zertifikat zu erkennen.
Wenn ich mich mit dem User anmelde unter dem der Jenkins Dienst auch läuft, kann ich problemlos auf Kommandozeile mit dem Zertifikat exen signieren. Leider klappt das nicht, wenn ich die Pipeline verwende, Jenkins meint dann
SignTool Error: No certificates were found that met all the given criteria.


Der eigentliche Signiervorgang wird in einer Batch angestoßen, mit der kann ich wie gesagt mit Direktaufruf signieren.

Passwort für den Signiervorgang wird per AutoHotKey bereit gestellt.

Einziges Problem das mir aktuell einfällt:
Der eToken wird aktuell per RDP auf den Buildserver (der ist virtualisiert) durchgeschleift, weil wenn man ihn an unseren Dongleserver dran hängt, wird das Zertifikat auch nicht erkannt, da ist die IT schon dran.

Ich habe jetzt versuchsweise das Zertifikat auf dem eToken exportiert und dann im Zertifikatsspeicher für alle User importiert, hat auch nicht funktioniert.

Hat hier noch jemand ne Idee was ich vergessen habe?

Grüße

[v2afrank]

Eine direkte Idee nicht, aber ich mache so etwas auch mit einem unserer Programme. Ich lasse es durch Innosetup signieren. Inno benutzt dann folgende Befehlszeile
"Pfad zu signtool.exe" sign /f "Pfad zur pfx" /p "Passwort" $f
Ok, er hat dann alles lokal und das Passwort steht auch im Klartext. Für uns ist das aber in Ordnung

[jaenicke]

Die Übergabe des Passworts auf der Kommandozeile funktioniert aber nur ohne Hardwaretoken, oder?

[v2afrank]

Ja genau, unser Zertifikat ist noch älter und funktioniert noch ohne Dongel. Ohne nachgeschaut zu haben hätte ich gesagt noch ein Jahr ?
Ich würde mir vorstellen einfach nächstes Jahr den Dongle an einen Buildslave zu machen und die Zertifikatsjobs nur noch dort auszuführen. Keine Ahnung ob es so einfach klappt

[Lemmy]

Passworteingabe wie gesagt ist kein Thema - mit Autohotkey funktioniert das ganz gut, auch im Batchbetrieb

[v2afrank]

Falls es noch jemanden interressiert. Hier ist ein Weg beschrieben wie man ohne Passwort Eingabe das Ganze machen kann auch bei einem USB Token.
https://stackoverflow.com/questions/...safenet-etoken
Ich habe es gerade getestet und es funktioniert.

Außerdem hab ich hier ien Tool gefunden welches auch von einem entfernten Buildslave das Ganze machen kann. Allerdings wird hier noch das Passwort genutzt
https://github.com/SirAlex/RemoteSignTool