Поделиться через

Быстрый старт: Настройка доверенного подписывания

Доверенная подпись — это полностью управляемая служба подписи сертификатов Microsoft. В этом кратком руководстве вы создадите следующие три ресурса доверенного подписывания для начала использования доверенного подписывания:

  • Учетная запись доверенного подписывания
  • Проверка удостоверения
  • Профиль сертификата

Вы можете использовать портал Azure или расширение Azure CLI для создания большинства ресурсов доверенной подписи и управления ими. (Проверка удостоверений выполняется только на портале Azure. Невозможно выполнить проверку удостоверений с помощью Azure CLI.) В этом кратком руководстве показано, как это сделать.

Предварительные условия

Примечание.

Для сертификатов public Trust в настоящее время доверенные подписи доступны организациям в США, Канаде, Европейском союзе и Соединенном Королевстве, а также отдельным разработчикам в США и Канаде. Это ограничение неприменимо к сертификатам частного доверия.

Чтобы завершить это краткое руководство, вам понадобятся:

Регистрация поставщика ресурсов доверенной подписи

Перед использованием доверенного подписывания необходимо зарегистрировать поставщика ресурсов доверенной подписи.

Поставщик ресурсов — это служба, которая предоставляет ресурсы Azure. Используйте портал Azure или Azure CLI для регистрации поставщика ресурсов доверенной Microsoft.CodeSigning подписи.

Чтобы зарегистрировать поставщика ресурсов доверенной подписи с помощью портал Azure:

  1. Войдите на портал Azure.

  2. В поле поиска или в разделе "Все службы" выберите "Подписки".

  3. Выберите подписку, в которой требуется создать ресурсы доверенной подписи.

  4. В меню ресурсов в разделе "Параметры" выберите "Поставщики ресурсов".

  5. В списке поставщиков ресурсов выберите Microsoft.CodeSigning.

    По умолчанию состояние поставщика ресурсов — NotRegistered.

Снимок экрана: создание учетной записи доверенной подписи.

  1. Выберите многоточие и нажмите кнопку "Зарегистрировать".

    Снимок экрана, который показывает, что поставщик ресурсов Microsoft.CodeSigning зарегистрирован.

    Состояние поставщика ресурсов изменяется на "Зарегистрирован".

Создание учетной записи доверенной подписи

Учетная запись доверенной подписи — это логический контейнер, в котором хранятся ресурсы проверки удостоверения и профиля сертификата.

Регионы Azure, поддерживающие доверенную подпись

Вы можете создавать ресурсы доверенной подписи только в регионах Azure, где сейчас доступна служба. В следующей таблице перечислены регионы Azure, которые в настоящее время поддерживают ресурсы доверенной подписи:

Область/регион Поля класса региона Значение URI конечной точки
Восточная часть США Восточный регион США (EastUS) https://eus.codesigning.azure.net
западная часть США ВестЮС https://wus.codesigning.azure.net
Центрально-западная часть США WestCentralUS https://wcus.codesigning.azure.net
западная часть США 2 ВестУС2 https://wus2.codesigning.azure.net
Северная Европа NorthEurope https://neu.codesigning.azure.net
Западная Европа WestEurope https://weu.codesigning.azure.net

Ограничения именования для доверенных учетных записей подписывания

Имена учетных записей Trusted Signing подчиняются определённым ограничениям.

Имя учетной записи доверенной подписи должно:

  • Содержит от 3 до 24 буквенно-цифровых символов.
  • Быть глобально уникальным.
  • Начните с буквы.
  • Заканчивается буквой или цифрой.
  • Не содержит последовательные дефисы.

Имя учетной записи доверенной подписи:

  • Не учитывает регистр (ABC совпадает с abc).
  • Отклонено Azure Resource Manager, если оно начинается с "one".

Чтобы создать учетную запись доверенного подписывания с помощью портал Azure:

  1. Войдите на портал Azure.

  2. Найдите и выберите доверенные учетные записи подписывания.

    Снимок экрана: поиск доверенных учетных записей подписывания на портале Azure.

  3. На панели "Доверенные учетные записи подписывания" нажмите кнопку "Создать".

  4. Для подписки выберите подписку Azure.

  5. Для группы ресурсов выберите "Создать", а затем введите имя группы ресурсов.

  6. В поле "Имя учетной записи" введите уникальное имя учетной записи.

    Дополнительные сведения см. в разделе "Ограничения именования" для учетных записей доверенных подписей.

  7. В поле Регион выберите регион Azure, поддерживающий доверенную подпись.

  8. Для ценообразования выберите ценовую категорию.

  9. Нажмите кнопку "Просмотр и создание ".

    Снимок экрана: создание учетной записи доверенной подписи.

  10. После успешного создания учетной записи доверенной подписи выберите "Перейти к ресурсу".

Создание запроса на проверку удостоверений

Вы можете выполнить собственную проверку удостоверений, заполнив форму запроса сведениями, которые должны быть включены в сертификат. Проверку личности можно выполнить только в портале Azure. Невозможно выполнить проверку удостоверений с помощью Azure CLI.

Примечание.

Невозможно создать запрос на проверку личности, если вам не назначена соответствующая роль. Если кнопка "Создать удостоверение" на строке меню в портале Azure отображается затемненной, убедитесь, что вам назначена роль Проверяющего Доверенной Подписи, чтобы продолжить проверку идентификации.

Чтобы создать запрос на подтверждение личности для организации или DBA, выполните следующие действия.

  1. В портале Azure откройте новую доверенную учетную запись для подписывания.

  2. Убедитесь, что вам назначена роль проверяющего подлинности доверенной подписи.

    Чтобы узнать, как управлять доступом с помощью управления доступом на основе ролей (RBAC), см. руководство по назначению ролей в Доверенной подписи.

  3. В области Обзор учетной записи Trusted Signing или в меню ресурсов в разделе Объекты выберите Проверки удостоверений.

  4. Выберите Новую личность, а затем выберите Публичный или Частный.

    • Проверка подлинности общественного удостоверения применяется только к этим типам профилей сертификатов: Public Trust, Public Trust Test, VBS Enclave.
    • Проверка частного удостоверения применяется только к следующим типам профилей сертификатов: Private Trust, Private Trust CI Policy.

  5. В новой проверке удостоверений укажите следующие сведения:

    Поля Сведения
    Название организации Для проверки публичной идентичности укажите юридическое лицо, которому выдан сертификат. Для проверки частного удостоверения значение по умолчанию соответствует имени вашего клиента Microsoft Entra.
    (Только тип частного удостоверения) Организационное подразделение Введите соответствующие сведения.
    URL-адрес веб-сайта Введите веб-сайт, принадлежащий юридическому лицу.
    Основной адрес электронной почты Введите адрес электронной почты отдельного лица (списки рассылки не принимаются), связанные с юридическим бизнес-объектом, проходящим проверку. В рамках процесса проверки личности на этот адрес электронной почты отправляется ссылка для подтверждения, которая истекает через семь дней. Убедитесь, что адрес электронной почты может получать сообщения электронной почты (со ссылками) из внешних адресов электронной почты.
    Вторичная электронная почта Этот адрес электронной почты должен отличаться от основного адреса электронной почты (списки рассылки принимаются). Для организаций домен должен соответствовать адресу электронной почты, указанному в основной адрес электронной почты. Убедитесь, что адрес электронной почты может получать сообщения электронной почты от внешних адресов электронной почты с ссылками.
    Бизнес-идентификатор Введите идентификатор бизнеса для юридической организации.
    Идентификатор продавца Применяется только к клиентам Microsoft Store. Найдите идентификатор продавца на портале Центра партнеров.
    Улица, город, страна/ регион, штат/провинция, почтовый индекс Введите адрес юридического лица.
    Имя Введите имя человека, представляющего организацию, которая будет выполнять проверку отдельных удостоверений. Используйте точное имя, как оно отображается в документе идентификации, выданном правительством, для процесса проверки идентификации.
    Фамилия Введите фамилию человека, представляющего организацию. Этот человек выполняет проверку личности. Используйте точное имя, как оно отображается в документе идентификации, выданном правительством, для процесса проверки идентификации.

  6. Выберите предварительный просмотр субъекта сертификата , чтобы просмотреть сведения, отображаемые в сертификате.

  7. Нажмите кнопку "Создать ".

  8. При успешном создании запроса состояние запроса проверки удостоверений изменяется на "Выполняется".

  9. Когда состояние изменится на "Обязательное действие", следуйте инструкциям, начиная с шага 9 на вкладке "Проверка удостоверений - Отдельный разработчик" выше.

  10. Ссылка для проверки идентификации также отправляется по электронной почте на основной адрес электронной почты.

  11. После успешной проверки личности состояние изменится на "Выполняется, а процесс проверки продолжается.

  12. Если требуются дополнительные документы, отправляется сообщение электронной почты, а состояние запроса изменяется на "Обязательное действие".

  13. По завершении процесса проверки удостоверений состояние запроса изменяется, а сообщение электронной почты отправляется с обновленным состоянием запроса:

    • Завершено , если процесс выполнен успешно.
    • Сбой , если процесс не выполнен успешно.

    Снимок экрана, показывающий параметр 'Публичный' в панели проверки нового удостоверения.

    Снимок экрана, на котором показан параметр

Важные сведения для проверки публичной идентичности

Требования Сведения
Введение в должность На данный момент Trusted Signing может зарегистрировать только юридические бизнес структуры, которые имеют проверяемую историю налоговых записей в течение трех или более лет. Для более быстрого процесса адаптации убедитесь, что актуальны общедоступные записи юридического лица, которое проходит валидацию.
Правильность Убедитесь, что вы предоставляете правильную информацию для проверки личности на общедоступных основаниях. Если необходимо внести изменения после его создания, необходимо выполнить новый запрос проверки удостоверения. Это изменение влияет на связанные сертификаты, используемые для подписи.
Сбой проверки электронной почты Если проверка электронной почты завершается ошибкой, необходимо инициировать новый запрос проверки удостоверения.
Состояние проверки удостоверения При обновлении состояния проверки удостоверений вы получите уведомление по электронной почте. Вы также можете проверить состояние в портале Azure в любое время.
Время обработки Обработка запроса на проверку удостоверений занимает от 1 до 7 рабочих дней (возможно, дольше, если вам потребуется запросить дополнительную документацию).
Дополнительная документация Если нам нужна дополнительная документация для обработки запроса на проверку удостоверений, вы получите уведомление по электронной почте. Документы можно отправить в портал Azure. Для отправки документации есть три попытки. Электронная почта запроса документации содержит сведения о требованиях к размеру файла. Убедитесь, что все предоставленные документы являются наиболее актуальными.
— Все отправленные документы должны быть выданы в течение предыдущих 12 месяцев и где дата окончания срока действия — это не менее двух месяцев.
— Если невозможно предоставить дополнительную документацию, обновите сведения об учетной записи, чтобы они соответствовали любым юридическим документам, уже предоставленным или официальным сведениям о регистрации компании.
— При предоставлении официального бизнес-документа, например формы регистрации бизнеса, устава компании или уставных документов, которые перечисляют название компании и адрес, как они предоставляются во время создания запроса на проверку подлинности.
— Убедитесь, что регистрация домена или счет за регистрацию или продление, в котором указаны название организации и имя контакта, а также все домены, которые включены или упомянуты в запросе.

Создание профиля сертификата

Ресурс профиля сертификата — это логический контейнер сертификатов, выданных для подписывания.

Ограничения именования для профилей сертификатов

Имена профилей сертификатов имеют некоторые ограничения.

Имя профиля сертификата должно:

  • Содержит от 5 до 100 буквенно-цифровых символов.
  • Начните с буквы, закончите буквой или цифрой и не содержите последовательные дефисы.
  • Будьте уникальными в учетной записи.

Название профиля сертификата:

  • В том же регионе Azure, что и учетная запись, наследование используется по умолчанию.
  • Не учитывает регистр (ABC совпадает с abc).

Чтобы создать профиль сертификата в портал Azure, выполните следующие действия.

  1. В портале Azure откройте новую доверенную учетную запись для подписывания.

  2. В области обзора учетной записи доверенного подписывания или в меню ресурсов в разделе "Объекты" выберите профили сертификатов.

  3. На панели команд выберите "Создать " и выберите тип профиля сертификата.

    Снимок экрана: типы профилей доверенных сертификатов подписывания, которые нужно выбрать.

  4. В разделе "Создание профиля сертификата" укажите следующие сведения:

    a. В поле "Имя профиля сертификата" введите уникальное имя.

    Дополнительные сведения см. в разделе "Ограничения именования" для профилей сертификатов.

    Значение типа сертификата автоматически заполняется на основе выбранного типа профиля сертификата.

    б. Для проверенного CN и O выберите проверку подлинности, которая должна отображаться в сертификате.

    • Если адрес улицы должен отображаться в сертификате, установите флажок "Включить уличный адрес ".

    • Если почтовый индекс должен отображаться на сертификате, установите флажок "Включить почтовый индекс ".

      Значения остальных полей автоматически заполняются на основе выбранного значения для проверенного CN и O.

      Созданный предварительный просмотр субъекта сертификата показывает, как будет выглядеть сертификат, который будет выдан.

  5. Нажмите кнопку "Создать".

    Снимок экрана: панель

Очистка ресурсов

Для удаления ресурсов доверенной подписи с помощью портала Azure:

Удаление профиля сертификата

  1. На портале Azure перейдите к учетной записи для доверенной подписи.
  2. В области обзора учетной записи доверенного подписывания или в меню ресурсов в разделе "Объекты" выберите профили сертификатов.
  3. В профилях сертификатов выберите профиль сертификата, который требуется удалить.
  4. На панели команд нажмите кнопку "Удалить".

Примечание.

Это действие останавливает любую подпись, связанную с профилем сертификата.

Удаление учетной записи доверенной подписи

  1. Войдите на портал Azure.
  2. В поле поиска введите и выберите доверенные учетные записи подписывания.
  3. В учетных записях доверенных подписей выберите учетную запись доверенного подписывания, которую вы хотите удалить.
  4. На панели команд нажмите кнопку "Удалить".

Примечание.

Это действие удаляет все профили сертификатов, связанные с этой учетной записью. Все процессы подписывания, связанные с профилями сертификатов, останавливаются.

Связанный контент

В этом быстром начале вы создали учетную запись доверенной подписи, запрос на проверку удостоверений и профиль сертификата. Дополнительные сведения о доверенном подписании и начале пути подписывания см. в следующих статьях:

  • Узнайте больше об интеграции подписывания.
  • Дополнительные сведения о моделях доверия, поддерживаемых доверенным подписыванием.
  • Дополнительные сведения об управлении сертификатами.
  • Нужна помощь в настройке:
    • Обратитесь через службу поддержки Azure через портал Azure.
    • Опубликуйте запрос на Stack Overflow или Microsoft Q&A, используйте тег: trusted-signing.
      • Проблемы проверки удостоверений можно устранить только с помощью Stack Overflow или Microsoft Q&A.
  • Last updated on