2026-07-07

要約: Windowsアプリケーションのコード署名において、USBトークンに格納されたコード署名証明書をAzure Key Vault Premium HSM上の証明書に移行し、GitHub Actionsでの自動署名を可能にした事例。秘密鍵の管理方式を「物理トークンの所持」から「Azure AD認証＋RBACによるアクセス制御」に変更することで、CI/CDパイプラインへの組み込みと監査性の向上を実現した。

下記の説明は、一部の事実を改変している。

従来、コード署名証明書はSafeNet eToken（USBトークン）に格納し、物理マシンにトークンを挿した状態で``signtool.exe``を用いて署名を行っていた。この構成には以下の課題があった。

• USBトークンが挿さった物理マシンへの依存（RDP経由では利用不可）
• GitHub ActionsなどのCIサービスでの自動署名が不可能
• 複数アプリケーションのリリースパイプラインが単一マシンに集中
• 署名操作の監査ログが取得できない

既存のコード署名証明書の有効期限が迫っていたため、このタイミングで認証局（CA）を乗り換え、クラウドHSM構成へ移行することとした。

Azure Key VaultのHSMバックエンドに秘密鍵を格納し、Bring Your Own Key（BYOK）方式でコード署名証明書を発行できるCAを調査した。

GMOグローバルサインのOVコードサイニング証明書HSMを採用した。同CAはAzure Key Vaultへの証明書マージ手順を公式マニュアルとして提供しており、標準フローでBYOK構成を構築できる点が決め手となった。

移行は5つのフェーズに分けて実施した。

• D社への問い合わせ（BYOKは例外手続きであることを確認）
• GMOグローバルサインへの問い合わせ（BYOKが標準フローであることを確認）
• 価格確認

• リソースグループを``japaneast``に作成
• Key VaultをPremiumプランで作成（RBAC有効）
• HSMキー（RSA 4096, RSA-HSM）を生成
• Key Vault上でCSRを生成・ダウンロード
• CSRのSubjectは``CN=EXAMPLE INC., O=EXAMPLE INC., S=Tokyo, C=JP``に設定

• GMOグローバルサインに申し込み
• CSR提出、DUNS照合、電話確認、HSM鍵管理監査宣誓書を提出
• 証明書発行後、Azure Portalで署名済み要求をマージ
• サービスプリンシパルを作成し、RBACロール（Key Vault Crypto User + Certificate User）を付与
• AzureSignToolを用いてローカル署名テストを実施 → ``Status: Valid``を確認

• リハーサル用privateリポジトリを作成
• 5つのRepository Secretsを登録（Key Vault URI, 証明書名, クライアントID, クライアントシークレット, テナントID）
• GitHub Actionsワークフローを作成し、dummy実行ファイルのビルド→署名→検証→artifactアップロード→draft release作成を自動化
• 署名済みバイナリをダウンロードし、ローカルで``Get-AuthenticodeSignature``による検証を実施 → ``Valid``確認済み

未着手。旧証明書の有効期限前に、本番リポジトリでの署名が安定した段階で実施予定。

旧構成ではUSBトークン本体の物理的保護が最重要であった。新構成ではサービスプリンシパルのclient secretが最大の保護対象となる。client secretが漏洩すると、Key Vaultに到達可能な任意の環境から署名が行えるため、eTokenの盗難と同等の事故クラスとして扱う必要がある。

新構成では以下の多層防御を採用している。

• HSM — 秘密鍵はハードウェアセキュリティモジュール内に保持され、エクスポート不可
• RBAC — 最小権限の原則に基づき、署名専用SPにのみCrypto User + Certificate Userロールを付与
• Azure AD認証 — クライアントID + クライアントシークレットによる認証
• シークレット管理 — パスワード管理ツールとGitHub Secretsのみにclient secretを保管
• 監査ログ — Key Vault診断ログで署名操作を追跡可能

USBトークンによるコード署名は「物理トークンを挿す」という行為がそのままセキュリティの根拠となっており、理解しやすい反面、CI/CDとの親和性が著しく低いという欠点があった。クラウドHSMへの移行により、署名基盤をAPI化し、ビルドパイプラインの一部として扱えるようになったことは大きな前進である。

一方で、「USBを挿さなければ絶対に署名できない」という物理的制約がなくなることは、セキュリティモデルの変化を意味する。Azure ADの認証情報（特にclient secret）の管理が新たなクリティカルパスとなるため、OIDC（Workload Identity Federation）への移行やシークレットの定期ローテーションなど、継続的な運用改善が求められる。

また、GMOグローバルサインのHSM対応が標準フローであることは、Azure Key Vaultを署名基盤として採用する上で大きなアドバンテージであった。CAの選定段階でこの点を確認しておいて正解だったと言える。

リハーサル用リポジトリには、ローカル環境でCIと同一の署名手順を再現するPowerShellスクリプト（scripts/sign-dummy-local.ps1）を同梱した。このスクリプトは1Password CLI（op）と連携しており、client secretを環境変数やファイルに直接書かずにop run経由で注入できる。scripts/.env.op.exampleにAZURE_CLIENT_SECRETをop://形式で記述し、

op run --env-file=scripts/.env.op -- pwsh ./scripts/sign-dummy-local.ps1

のように実行する。

スクリプト内部で実際に呼び出しているAzureSignToolのコマンドは以下のとおりである。

azuresigntool sign `
    -kvu $KeyVaultUri `
    -kvc $CertName `
    -kvi $ClientId `
    -kvs $clientSecret `
    -kvt $TenantId `
    -tr http://timestamp.digicert.com `
    -fd sha256 -v `
    $exe

-kvuにKey VaultのURL、-kvcに証明書名、-kvi / -kvs / -kvtにサービスプリンシパルのクライアントID・シークレット・テナントIDを渡す。-trでタイムスタンプAuthorityを指定する点はsigntool.exeの/trと同じである。

GitHub Actionsのワークフロー（.github/workflows/sign-rehearsal.yml）では、このスクリプトは使わずにazuresigntoolを直接呼び出している。シークレットはRepository Secretsから環境変数経由で注入する。

- name: Sign executable
  env:
    AZURE_KEY_VAULT_URI: ${{ secrets.AZURE_KEY_VAULT_URI }}
    CERT_NAME: ${{ secrets.CERT_NAME }}
    AZURE_CLIENT_ID: ${{ secrets.CLIENT_ID }}
    AZURE_CLIENT_SECRET: ${{ secrets.CLIENT_SECRET }}
    AZURE_TENANT_ID: ${{ secrets.TENANT_ID }}
  shell: pwsh
  run: |
    $exe = "dummy/out/DummyBin.exe"
    azuresigntool sign `
      -kvu $env:AZURE_KEY_VAULT_URI `
      -kvc $env:CERT_NAME `
      -kvi $env:AZURE_CLIENT_ID `
      -kvs $env:AZURE_CLIENT_SECRET `
      -kvt $env:AZURE_TENANT_ID `
      -tr http://timestamp.digicert.com `
      -fd sha256 -v `
      $exe

AZURE_CLIENT_SECRET環境変数が直接設定されている場合はそちらを優先するため、ローカルスクリプトもGitHub Actionsのシークレット注入（env:）と同じ仕組みで動作する。これにより、client secretがディスクに平文で残ることを防ぎつつ、ローカルでの署名テストとCIでの自動署名で同一の手順を共有できる。

• AzureSignTool
• GlobalSign HSM申し込みガイド
• GlobalSign Azure Key Vaultマニュアル