你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

快速入门：设置受信任签名

受信任签名是 Microsoft 完全托管的端到端证书签名服务。 在本快速入门中，你将创建下面 3 个受信任签名资源来开始使用受信任签名：

• 受信任签名帐户
• 标识验证
• 证书配置文件

可以使用 Azure 门户或 Azure CLI 扩展来创建和管理大多数受信任签名资源。 （只能在 Azure 门户中完成标识验证。无法使用 Azure CLI 完成标识验证。)本快速入门演示了操作方法。

先决条件

若要完成本快速入门，你需要：

• Microsoft Entra 租户 ID。

  有关详细信息，请参阅创建 Microsoft Entra 租户。

• Azure 订阅。

  在开始之前，请创建一个 Azure 帐户（如果还没有此帐户）。

注册 Trusted Signing 资源提供程序

在使用受信任签名之前，必须先注册受信任签名资源提供程序。

资源提供程序是提供 Azure 资源的服务。 使用 Azure 门户或 Azure CLI 注册受信任签名资源提供程序 Microsoft.CodeSigning。

Azure 门户

若要使用 Azure 门户注册受信任签名资源提供程序，请执行以下操作：

1. 登录 Azure 门户。

2. 在搜索框中或“所有服务”下，选择“订阅”。

3. 选择要在其中创建受信任签名资源的订阅。

4. 在资源菜单的“设置”下，选择“资源提供程序”。

5. 在资源提供程序列表中，选择“Microsoft.CodeSigning”。

   默认情况下，该资源提供程序的状态为“未注册”。

   

6. 选择省略号，然后选择“注册”。

   

   资源提供程序的状态更改为“已注册”。

Azure CLI

若要使用 Azure CLI 注册受信任签名资源提供程序，请执行以下操作：

1. 如果使用的是 Azure CLI 的本地安装，请使用 az login 命令登录到 Azure CLI。

2. 若要完成身份验证过程，请完成终端中显示的步骤。 有关其他登录选项，请参阅使用 Azure CLI 登录。

3. 如果第一次使用时出现提示，请安装 Azure CLI 扩展。

   有关详细信息，请参阅使用 Azure CLI 的扩展。

   有关受信任签名 Azure CLI 扩展的详细信息，请参阅受信任签名服务。

4. 要查看已安装的 Azure CLI 和依赖库的版本，请使用 az version 命令。

5. 要升级到最新版本的 Azure CLI 和依赖库，请运行以下命令：

   az upgrade [--all {false, true}]
      [--allow-preview {false, true}]
       [--yes]
   

6. 要设置默认订阅 ID，请使用 az account set -s <subscription ID> 命令。

7. 要注册受信任签名资源提供程序，请使用以下命令：

   az provider register --namespace "Microsoft.CodeSigning"
   

8. 验证注册：

   az provider show --namespace "Microsoft.CodeSigning"
   

9. 要添加受信任签名的扩展，请使用以下命令：

   az extension add --name trustedsigning
   

创建受信任签名帐户

受信任签名帐户是保存标识验证和证书配置文件资源的逻辑容器。

支持受信任签名的 Azure 区域

只能在当前提供该服务的 Azure 区域中创建受信任签名资源。 下表列出了当前支持受信任签名资源的 Azure 区域：

区域	区域类字段	终结点 URI 值
美国东部	EastUS	https://eus.codesigning.azure.net
美国西部	美国西部	https://wus.codesigning.azure.net
美国中西部	WestCentralUS	https://wcus.codesigning.azure.net
美国西部 2	美国西部 2	https://wus2.codesigning.azure.net
北欧	NorthEurope	https://neu.codesigning.azure.net
西欧	西欧	https://weu.codesigning.azure.net

受信任签名帐户的命名约束

受信任签名帐户名称具有一些约束。

受信任签名帐户名称必须：

• 包含 3 到 24 个字母数字字符。
• 全局唯一。
• 以字母开头。
• 以字母或数字结尾。
• 不包含连续的连字符。

受信任签名帐户名称：

• 不区分大小写（“ABC”和“abc”没有区别）。
• 在以“one”开头时会被 Azure 资源管理器拒绝。

Azure 门户

若要使用 Azure 门户创建受信任签名帐户，请执行以下操作：

1. 登录 Azure 门户。

2. 搜索“受信任签名帐户”并将其选中。

   

3. 在“受信任签名帐户”窗格上，选择“创建”。

4. 对于“订阅”，请选择你的 Azure 订阅。

5. 对于“资源组”，选择“新建”，然后输入资源组名称。

6. 对于“帐户名称”，输入唯一的帐户名称。

   有关详细信息，请参阅受信任签名帐户的命名约束。

7. 对于“区域”，选择支持受信任签名的 Azure 区域。

8. 对于“定价”，选择一个定价层。

9. 选择“查看 + 创建”按钮。

   

10. 成功创建受信任签名帐户后，选择“转到资源”。

Azure CLI

若要使用 Azure CLI 创建受信任签名帐户，请执行以下操作：

1. 使用以下命令创建资源组。 如果选择使用现有资源组，请跳过此步骤。

   az group create --name MyResourceGroup --location EastUS
   

2. 使用以下命令创建唯一的受信任签名帐户。

   有关详细信息，请参阅受信任签名帐户的命名约束。

   若要创建具有基本 SKU 的受信任签名帐户，请执行以下操作：

az trustedsigning create -n MyAccount -l eastus -g MyResourceGroup --sku Basic

To create a Trusted Signing account that has a Premium SKU:

```azurecli
az trustedsigning create -n MyAccount -l eastus -g MyResourceGroup --sku Premium

3. 使用 az trustedsigning show -g MyResourceGroup -n MyAccount 命令验证受信任签名帐户。

   注意

   如果使用受信任签名专用预览版中早期版本的 Azure CLI，则帐户默认为基本 SKU。 若要使用高级 SKU，请将 Azure CLI 升级到最新版本，或者使用 Azure 门户创建帐户。

下表列出了创建受信任签名帐户时要使用的实用命令：

命令	说明
az trustedsigning -h	显示帮助命令和详细选项。
az trustedsigning show -n MyAccount -g MyResourceGroup	显示帐户的详细信息。
az trustedsigning update -n MyAccount -g MyResourceGroup --tags "key1=value1 key2=value2"	更新标记。
az trustedsigning list -g MyResourceGroup	列出资源组中的所有帐户。

创建标识验证请求

可填写请求表单，提供证书中必须包含的信息，完成自己的标识验证。 只能在 Azure 门户中完成标识验证。 无法使用 Azure CLI 完成标识验证。

注意

如果没有相应的角色，则无法创建标识验证请求。 如果 Azure 门户中菜单栏上的“新建标识”按钮灰显，请确保你具有“受信任签名标识验证者”角色，以便继续进行标识验证。

标识验证 - 组织

为组织创建标识验证请求：

1. 在 Azure 门户中，转到新的受信任签名帐户。

2. 确认系统向你分配了“受信任签名标识验证者”角色。

   若要了解如何使用基于角色的访问控制 (RBAC) 管理访问权限，请参阅教程：在受信任签名中分配角色。

3. 在受信任签名帐户“概述”窗格或在资源菜单的“对象”下，选择“标识验证”。

4. 选择“新建标识”，然后选择“公共”或“专用”。

   • 公共标识验证仅适用于以下证书配置文件类型：公共信任、公共信任测试、VBS Enclave。
   • 专用标识验证仅适用于以下证书配置文件类型：专用信任、专用信任 CI 策略。

5. 在“新建标识验证”上，提供以下信息：

   字段	详细信息
   组织名称	对于公共标识验证，请提供要向其颁发证书的合法企业实体。 对于专用标识验证，该值默认为 Microsoft Entra 租户名称。
   （仅限专用标识类型）组织单位	输入相关信息。
   网站 URL	输入属于该合法企业实体的网站。
   主电子邮件地址	输入与正在进行验证的合法企业实体关联的电子邮件地址。 在标识验证过程中，验证链接将发送到此电子邮件地址，且该链接在七天内过期。 确保电子邮件地址可接收来自外部电子邮件地址的电子邮件（带有链接）。
   次要电子邮件地址	此电子邮件地址必须与主电子邮件地址不同。 对于组织，域必须与主电子邮件地址中提供的电子邮件地址匹配。 确保电子邮件地址可以接收来自外部电子邮件地址且带有链接的电子邮件。
   企业标识符	输入合法企业实体的企业标识符。
   卖家 ID	只适用于 Microsoft Store 客户。 在合作伙伴中心门户中查找卖家 ID。
   街道、城市、国家/地区、州、邮政编码	输入合法企业实体的企业地址。

6. 选择“证书主题预览”，查看证书中显示的信息预览。

7. 选择“我接受 Microsoft 的受信任签名服务使用条款”。 可以下载使用条款来查看或保存它们。

8. 选择“创建”按钮。

9. 成功创建请求后，标识验证请求状态将更改为“正在进行”。

10. 如果需要更多文件，会发送一封电子邮件，并且请求状态将更改为“需要操作”。

11. 标识验证过程完成后，请求状态将发生更改，并且会发送一封电子邮件，其中包含请求的更新状态：

• 如果过程已成功完成，状态为“已完成”。
• 如果过程未成功完成，状态为“失败”。

公共标识验证的重要信息

要求	详细信息
登记	目前，受信任签名只能加入具有至少三年可验证税务历史记录的合法企业实体。 为了更快完成加入过程，请确保已验证的合法企业实体的公共记录是最新的。
准确性	确保为公共标识验证提供正确信息。 如果需要在创建后进行任何更改，必须完成新的标识验证请求。 此更改会影响用于签名的关联证书。
电子邮件验证失败	如果电子邮件验证失败，必须发起新的标识验证请求。
标识验证状态	当标识验证状态更新时，你会收到电子邮件通知。 你还可以随时在 Azure 门户中检查状态。
处理时间	处理标识验证请求需要 1 到 7 个工作日（如果需要向你请求更多文档，可能需要更长时间）。
更多文档	如果我们需要更多文档来处理标识验证请求，我们会通过电子邮件通知你。 可以在 Azure 门户中上传文档。 文档请求电子邮件包含有关文件大小要求的信息。 确保提供的文档都是最新的。 - 提交的所有文档必须是在过去 12 个月内签发的，或者其有效期为至少两个月后的某未来日期。 - 如果无法提供其他文档，请更新帐户信息，以匹配已提供的任何法律文档或官方公司注册详细信息。 - 提供正式业务文档（如业务注册表单、商业宪章或合并条款）时，应在创建标识验证请求时提供公司名称和地址。 - 确保域注册或域发票从注册或续订中列出的实体/联系人姓名和域名与申请中的一致。

标识验证 - 个人开发者

要为个人开发者创建单个标识验证请求：

1. 在 Azure 门户中，转到新的受信任签名帐户。

2. 确认系统向你分配了“受信任签名标识验证者”角色。

   若要了解如何使用基于角色的访问控制 (RBAC) 管理访问权限，请参阅教程：在受信任签名中分配角色。

3. 在受信任签名帐户“概述”窗格或在资源菜单的“对象”下，选择“标识验证”。

4. 选择“组织”，在下拉列表中选择“个人”，然后选择“公共”。

   • 公共标识验证适用于以下证书配置文件类型：公共信任、公共信任测试、VBS Enclave。
   • 专用标识验证仅适用于组织。

5. 在“新建标识验证”上，提供以下信息：

   字段	详细信息
   名	使用在政府颁发的标识文档中显示的确切名称进行标识验证过程。
   姓	使用在政府颁发的标识文档中显示的确切名称进行标识验证过程。
   主电子邮件地址	输入要接收标识验证链接的电子邮件地址。 请确保此电子邮件地址与登录到 Microsoft 帐户以访问标识验证链接时使用的电子邮件地址相同。
   街道、城市、国家/地区、州、邮政编码	输入政府颁发的标识文档或公用事业账单或银行对帐单上的地址。 此处输入的地址中的城市、州和国家/地区显示在证书上。

6. 选择“证书主题预览”，查看证书中显示的信息预览。

• 默认情况下，你的电子邮件地址和街道地址不包括在证书中。

7. 选择“我接受 Microsoft 的受信任签名服务使用条款”。 可以下载使用条款来查看或保存它们。
8. 选择“创建”按钮。
9. 成功创建请求后，标识验证请求状态将更改为“正在进行”。
10. 当状态更改为“所需操作”时。 单击名称，右侧将打开一个边栏选项卡。 单击“请在此处完成验证”下的链接。
11. 按照链接完成标识验证过程。 使用创建请求时提供的电子邮件地址创建 Microsoft 帐户。 出现提示时输入凭据，你将导航到下一个屏幕。
12. 在“受信任的合作伙伴”>“Au10tix”下单击“开始”。 你将导航到第三方网站。
13. 需要切换到移动设备来完成该过程，并在出现提示时提供相关文档。
14. 在移动设备上，打开 Authenticator 应用，选择“已验证 ID”，右下角会显示蓝色的 QR 码。 单击该按钮。
15. 在 Azure 门户中，单击用于执行标识验证的链接，在移动设备的“显示已验证 ID”下扫描 QR 码，将完成该过程。 如果成功完成，则显示：“验证成功”

16. Azure 门户中的标识验证状态需要几分钟才能更新。 成功验证证件后，Azure 门户上的状态将更改为“已完成”。

个人公共标识验证的重要信息

1. 移动操作系统和支持的浏览器的最低要求：

2. 接受的证件类型：

• 政府颁发的证件，如护照、驾驶执照或身份证。
• 照片证件（或美国社会保障卡）。
• 官方颁发的证件，例如护照、驾驶执照或州证件。
• 不要提交私人发放的证件，如图书馆卡、校园卡、俱乐部会员卡等。

3. 能见度/弱光/强光：

• 不要使用闪光灯。
• 不要将证件置于阳光直射下。
• 拍摄照片时，保持相机或移动设备稳定。

4. 补充文档的最佳做法：

• 公用事业账单：电费、水费、煤气费或电话费（应为最近的账单，通常是最近三个月内的）。
• 银行帐单：显示个人地址的银行或信用卡公司的正式账单。
• POA 文档的主页（第一页）上必须有地址、姓名和日期，因此不需要多页。

5. 常规最佳做法：

• 每个文件一张图片，如果是双面，则每面创建一个文件。
• 不接受手写文档。
• 不要裁剪图像（剪切角，遗漏部分），在拍摄之前，尽量在拍摄图像的所有侧面都有边距。
• 请勿使用 Photoshop 或其他编辑软件；请勿以任何方式更改文档。
• 不要使用闪光灯。
• 将文档平放时，从文档正上方拍摄照片。
• 避免彩色和嘈杂的背景。
• 不要遮挡证件（手指不要盖住文档的任何部分）。
• 使用不低于 200 DPI 的彩色图像。 理想的图像大小为 500Kb。 AU10TIX 最佳做法是接受 400 DPI 及以上的图像。
• 正常结果的图像尺寸的最小阈值是 600 W X 370 H 像素。
• 接受的文件类型：.bmp .jpg .gif .tif .pdf。
• 用户不能上传小于 30kb 或大于 5MB 的图像。

创建一份证书配置文件

证书配置文件资源是已颁发给你进行签名的证书的逻辑容器。

证书配置文件的命名约束

证书配置文件名称具有一些约束。

证书配置文件名称必须：

• 包含 5 到 100 个字母数字字符。
• 以字母开头，以字母或数字结尾，并且不包含连续的连字符。
• 在帐户中唯一。

证书配置文件名称：

• 在帐户所在的同一 Azure 区域中，默认继承。
• 不区分大小写（“ABC”和“abc”没有区别）。

Azure 门户

要在 Azure 门户中创建证书配置文件，请执行以下步骤：

1. 在 Azure 门户中，转到新的受信任签名帐户。

2. 在受信任签名帐户“概述”窗格或在资源菜单的“对象”下，选择“证书配置文件”。

3. 在命令栏上，选择“创建”并选择证书配置文件类型。

   

4. 在“创建证书配置文件”中，提供以下信息：

   a. 对于“证书配置文件名称”，输入唯一名称。

   有关详细信息，请参阅证书配置文件的命名约束。

   “证书类型”的值根据所选的证书配置文件类型自动填充。

   b. 对于“已验证的 CN 和 O”，选择必须在证书上显示的标识验证。

   • 如果证书上必须显示街道地址，请选中“包括街道地址”复选框。

   • 如果证书上必须显示邮政编码，请选中“包括邮政编码”复选框。

     剩余字段中的值根据“已验证的 CN 和 O”中的选定内容自动填充。

     生成的“证书使用者预览”会显示将颁发的证书预览。

5. 选择创建。

   

Azure CLI

先决条件

需要为其创建证书配置文件的实体的标识验证 ID。 完成这些步骤，在 Azure 门户中查找标识验证 ID。

1. 在 Azure 门户中转到受信任签名帐户。

2. 在受信任签名帐户“概述”窗格或在资源菜单的“对象”下，选择“标识验证”。

3. 选择相关实体的超链接。 在“标识验证”窗格中，可以复制“标识验证 ID”的值。

   

若要使用 Azure CLI 创建证书配置文件，请执行以下操作：

1. 使用以下命令创建证书配置文件：

   az trustedsigning certificate-profile create -g MyResourceGroup --a
   account-name MyAccount -n MyProfile --profile-type PublicTrust --identity-validation-id xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   

   有关详细信息，请参阅证书配置文件的命名约束。

2. 使用以下命令创建在证书主题名称中包含可选字段（街道地址或邮政编码）的证书配置文件：

az trustedsigning certificate-profile create -g MyResourceGroup --account-name MyAccount -n MyProfile --profile-type PublicTrust --identity-validation-id xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx --include-street true

3. Verify that you successfully created a certificate profile by using the following command:

```azurecli
az trustedsigning certificate-profile show -g myRG --account-name MyAccount -n  MyProfile

下表列出了在使用 Azure CLI 创建证书配置文件时要使用的实用命令：

命令	说明
az trustedsigning certificate-profile create -–help	显示示例命令的帮助和详细参数说明。
az trustedsigning certificate-profile list -g MyResourceGroup --account-name MyAccount	列出与受信任签名帐户关联的所有证书配置文件。
az trustedsigning certificate-profile show -g MyResourceGroup --account-name MyAccount -n MyProfile	获取证书配置文件的详细信息。

清理资源

Azure 门户

若要使用 Azure 门户删除受信任签名资源，请执行以下操作：

删除证书配置文件

1. 在 Azure 门户中转到受信任签名帐户。
2. 在受信任签名帐户“概述”窗格或在资源菜单的“对象”下，选择“证书配置文件”。
3. 在“证书配置文件”中，选择要删除的证书配置文件。
4. 在命令栏上，选择删除。

注意

此操作会停止与证书配置文件相关的所有签名。

删除受信任签名帐户

1. 登录 Azure 门户。
2. 在搜索框中，输入内容，然后选择“受信任签名帐户”。
3. 在“受信任签名帐户”中，选择要删除的受信任签名帐户。
4. 在命令栏上，选择删除。

注意

此操作将删除链接到此帐户的所有证书配置文件。 与证书配置文件关联的所有签名过程都会停止。

Azure CLI

若要使用 Azure CLI 删除受信任签名资源，请执行以下操作：

删除证书配置文件

若要删除受信任签名证书配置文件，请运行以下命令：

az trustedsigning certificate-profile delete -g MyResourceGroup --account-name MyAccount -n MyProfile

注意

此操作会停止与证书配置文件相关的所有签名。

删除受信任签名帐户

可以使用 Azure CLI 删除受信任签名资源。

若要删除受信任签名帐户，请运行以下命令：

az trustedsigning delete -n MyAccount -g MyResourceGroup

注意

此操作将删除链接到此帐户的所有证书配置文件。 与证书配置文件关联的所有签名过程都会停止。

相关内容

在本快速入门中，你创建了受信任签名帐户、标识验证请求和证书配置文件。 若要详细了解受信任签名并开启签名之旅，请参阅以下文章：

• 详细了解签名集成。
• 详细了解受信任签名支持的信任模型。
• 详细了解证书管理。
• 在设置方面需要帮助：
  • 通过 Azure 门户联系 Azure 支持。
  • 在 Stack Overflow 或 Microsoft Q&A 上发布查询，使用标签：trusted-signing。
    • 只能通过 Stack Overflow 或 Microsoft Q&A 解决标识验证问题。