使用VSTS和GitHub代碼簽名來源

與其他人一樣，我使用GitHub作爲我的開源項目。現在我想使用VSTS作爲構建和發佈服務而不是AppVeyor。使用VSTS和GitHub代碼簽名來源

將來我想簽署我所有的NuGet軟件包。

但是：我應該在哪裏存儲我的證書文件（pfx）？

VSTS沒有keyvault
我不想來存儲我的PFX文件在GitHub上或其他公共場所

我的想法

我可以存儲PEM（ base64）轉換爲build var，並在構建證書（pfx）期間使用openssl創建（pfx）
我可以將pfx文件存儲在專用且安全的blob存儲上d在編譯期間下載pfx

這裏的最佳實踐是什麼？

來源

2017-04-11 Ben

您仍然可以使用密鑰保管庫。看看[這個]（https://blogs.msdn.microsoft.com/najib/2017/03/07/protecting-secrets-using-vsts-and-azure-key-vault/）博客的一些靈感。 –

我沒有嘗試[這個例子]（https://www.harvestdatacorp.com/blog/2017/04/26/vsts-with-code-signed-pfx-certificates/），但它可能適用於你與[下載安全文件]（https://docs.microsoft.com/en-us/vsts/build-release/tasks/utility/download-secure-file）VSTS任務的組合。 –

你的兩個想法對我來說都很好。由於您使用的是僅支持私有存儲庫的VSTS，因此您還可以在VSTS帳戶中創建專用存儲庫來存儲pfx文件，然後在構建/發行版定義中添加任務以在構建/發行期間獲取文件。

來源

2017-04-13 08:36:51

我想我會去私人的git方式。已經有一個當地的德國傳教士的想法，但我想也許還有別的。謝謝。 – Ben

使用VSTS和GitHub代碼簽名來源

回答

相關問題