Я пытаюсь получить PFX-файл с USB-накопителя Sectigo, чтобы включить подпись моего приложения с помощью действия GitHub. Я понимаю, что USB не всегда требовался.

Это невозможно, вы не можете извлечь закрытый ключ из USB-токена в файловое хранилище ключей. Новые ключи подписи кода, поставляемые с 1 июня 2023 г., должны храниться в аппаратном модуле хранения.

Вместо создания PFX-файла вам необходимо установить параметр signWithParams в конфигурации белки и указать параметры Signtool для использования USB-токена.

Что-то вроде этого:

"makers": [
  {
    "name": "@electron-forge/maker-squirrel",
    "config": {
      "signWithParams": " /a /tr http://rfc3161timestamp.globalsign.com/advanced /fd SHA256 /td SHA256 /sha1 [thumbprint]"
    }
  }
],

Первоначальный ответ, как сказал Эммануэль Бург, заключается в том, что вы не можете экспортировать PFX, используя новомодные физические токены.

Мое более масштабное решение заключалось в том, чтобы подписать OSX обычным способом, отправить файлы Windows в неподписанную папку и подписать их вручную с помощью сценария.

Вот мой процесс CI, который, как мне кажется, на данный момент максимально безболезненный:

• Предполагая, что вы публикуете на s3, настройте издатель-s3 на публикацию в неподписанную папку.

        keyResolver: (fileName, platform, arch) => {
          return `${platform}/unsigned/${arch}/${fileName}`
        }

• Установите updateSource для updateElectronApp и RemoteReleases создателя белки указывает на папку /signed.

updateElectronApp({
      updateSource: {
        type: UpdateSourceType.StaticStorage,
        baseUrl: `https://BUCKET.s3.amazonaws.com/${process.platform}/${process.arch}`
      },
      updateInterval: '1 hour',
      logger: require('electron-log')
    })

{
      name: '@electron-forge/maker-squirrel',
      config: (arch) => ({
        ...
        remoteReleases: `https://BUCKET.s3.amazonaws.com/win32/${arch}`, 
      })
    }

• Переместите опубликованный zip-архив OSX из неподписанной в подписанную папку s3 с помощью aws cli в действии github, поскольку он подписан удаленно, поскольку Apple не требует физических токенов, СПАСИБО БОГУ. Зачем отправлять OSX в неподписанную папку? Потому что указание операционной системы s3-издателя ничего не дает, поэтому вам придется отправить оба в одно и то же ведро. Иметь двух разных издателей, один для каждой ОС, создает дубликаты.

Однако для Windows мы должны просмотреть каждый файл в неподписанной папке, проверить, есть ли у него подписанная версия в подписанной папке, а если нет, загрузить его, подписать и загрузить в подписанную папку. Важно отметить, что создатель белок полагается на файл RELEASES и наличие файлов nupkg для создания дельт, поэтому будьте осторожны при удалении файлов, которые могут понадобиться позже.

• Создайте скрипт bash, который вы будете запускать каждый раз, когда получаете зеленую сборку на github. Если полениться и не запустить его, то пользователи Windows просто не получат новых версий. Я боялся, что пользователи получат новые версии, которые не были подписаны, но этого избегают.

...
sign_setup_exe() {
    local version=$1
    TIMESTAMP_SERVER = "http://timestamp.sectigo.com"

    echo "Signing..."
    signtool sign -sha1 "$THUMBPRINT" -tr "$TIMESTAMP_SERVER" -td sha256 -fd sha256 "$LOCAL_DIR/APP-$version Setup.exe"
    signtool sign -sha1 "$THUMBPRINT" -tr "$TIMESTAMP_SERVER" -td sha256 -fd sha256 "$LOCAL_DIR/APP-win32-x64-$version/APP-$version Setup.exe"
}

process_setup_file() {
    local setup_file=$1
    local version

    version=$(echo "$setup_file" | grep -oP '(?<=APP-).*')

    echo "Considering $version..."
    if aws s3api head-object --bucket "BUCKET" --key "win32/x64/APP-win32-x64-$version.zip" >/dev/null 2>&1; then
        echo "BUCKET/win32/x64/APP-$version Setup.exe already exists so we are skipping."
        return 1
    fi

    download_files "$version"
    if [ $? -ne 0 ]; then
        echo "Failed to download files for version $version."
        return 1
    fi
    unzip_file "$version"
    if [ $? -ne 0 ]; then
        echo "Error Unzipping $version."
        return 1
    fi
    sign_setup_exe "$version"
    if [ $? -ne 0 ]; then
        echo "Error signing $version."
        return 1
    fi
    rezip_directory "$version"
    if [ $? -ne 0 ]; then
        echo "Error zipping directory signed files $version."
        return 1
    fi  
    upload_signed_files "$version"
    if [ $? -ne 0 ]; then
        echo "Error uploading signed files $version."
        return 1
    fi    
    remove_local_files
    if [ $? -ne 0 ]; then
        echo "Error removing local files for $version."
        return 1
    fi
    return 0
}
# The releases file is used to manage versions, I think both post and getting versions relies on this.
copy_releases_file() {
    aws s3 cp s3://$TEMP_BUCKET/RELEASES s3://$FINAL_BUCKET/RELEASES
}
check_for_new_files() {
    echo "Checking for new setup.exe in $TEMP_BUCKET..."

    setup_files=$(aws s3 ls "s3://$TEMP_BUCKET/" | grep 'Setup.exe' | awk '{print $4}')

    for setup_file in $setup_files; do
        process_setup_file "$setup_file"
    done
    copy_releases_file
}
check_for_new_files

Устойчиво ли это для более чем одного человека? Нет. Поможет ли приобретение выделенного сервера Windows для создания кода решить эту проблему? Нет! Кто-то все равно должен каждый раз подходить к компьютеру и вводить пароль. Я просмотрел статью, где один парень сказал, что может дать пароль для токена один раз за сеанс, но я не знаю, как они это сделали.

Чтобы не вводить пароль каждый раз, когда вы можете включить единый вход, перейдите в настройки клиента, затем «Дополнительно», и вы увидите кнопку единого входа.