TeamCity-Integrationshandbuch
Durch die Integration von CodeSign Secure mit TeamCity wird der Code-Signierungsschritt in Ihren Build-Konfigurationen automatisiert. Dadurch wird sichergestellt, dass Ihre Softwareartefakte vor der Veröffentlichung oder Bereitstellung ohne manuelles Eingreifen sicher signiert werden.
CodeSign Secure KSP einrichten
Der Encryption Consulting Key Storage Provider (KSP) für Windows ist eine Softwarekomponente, die das Microsoft Cryptography API: Next Generation (CNG)-Framework erweitert. Sein Hauptzweck besteht darin, Windows-Anwendungen wie signtool.exe die nahtlose Interaktion mit den in einem HSM gespeicherten kryptografischen Schlüsseln und Zertifikaten zu ermöglichen.
Schritte:
-
Laden Sie das EC KSP herunter
-
Melden Sie sich beim CodeSign Secure-Portal an und navigieren Sie zum Abschnitt „Signing Tools“, um „EC KSP für Windows“ herunterzuladen.
- Extrahieren Sie die ZIP-Datei, um die Datei „Setup.msi“ zu erhalten.
-
-
Installieren Sie den EC KSP
-
Führen Sie das Installationsprogramm „Setup.msi“ mit Administratorrechten aus.
-
Folgen Sie den Anweisungen des Installationsassistenten auf dem Bildschirm.
- Akzeptieren Sie die Endbenutzer-Lizenzvereinbarung.
- Wählen Sie das Installationsverzeichnis (der Standard ist C:\Programme\Encryption Consulting\SigningKSP).
- Wählen Sie, ob Sie das KSP für alle oder nur für den aktuellen Benutzer installieren möchten
-
Geben Sie die angeforderten Details ein, beispielsweise:
- Benutzername: Der Benutzername/die E-Mail-Adresse, die Sie zum Anmelden beim CodeSign Secure-Portal verwenden.
- Code: Der Geheimcode, den Sie beim Einrichten der CodeSign Secure-Lösung festgelegt haben.
- Identitätstyp: Dieses Feld als Standard beibehalten (2)
- CodeSign Secure URL: Die URL für den Zugriff auf das Portal (Denken Sie daran, am Ende der URL „/api/“ hinzuzufügen)
-
Klicken Sie auf Weiter und bestätigen Sie die Installation.
-
-
Konfigurieren Sie die Einstellungen des Registrierungseditors
-
Öffnen Sie den Registrierungseditor und navigieren Sie zum Verzeichnis HKEY_CURRENT_USER>Software>Encryption Consulting>SigningKSP.
-
Öffnen Sie nun das CodeSign Secure-Portal und navigieren Sie zu System-Setup > Benutzer. Wählen Sie im Dropdown-Menü auf der rechten Seite „API-Schlüssel generieren“ aus.
-
Erstellen Sie ein Token für Ihr Konto, indem Sie einen Namen und eine Gültigkeitsdauer angeben. Denken Sie daran, das Token zu kopieren, da es nur einmal angezeigt wird.
-
Fügen Sie dieses Token zum Feld „ectoken“ im Registrierungseditor hinzu.
-
Einrichten des P12-Authentifizierungszertifikats
Zum Einrichten eines P12-Zertifikats müssen Sie Ihre Umgebungsvariablen konfigurieren, um Ihren Clientcomputer mit CodeSign Secure von Encryption Consulting zu authentifizieren.
Schritte:
-
Konfigurieren der Umgebungsvariablen
-
Öffnen Sie die Umgebungsvariablen über Ihr Startmenü
-
Fügen Sie neue Systemvariablen hinzu, indem Sie auf die Schaltfläche „Neu“ klicken. Geben Sie den folgenden Variablennamen und die entsprechenden Details an.
- EC_Client_Auth: Entspricht dem Pfad Ihres SSL-Authentifizierungszertifikats, das von CodeSignSecure erstellt werden kann
- EC_Client_Pass: Entspricht dem Passwort Ihres Zertifikats, das bei der Erstellung des Zertifikats angegeben wird.
- EC_SSL_VERBOSE: Entspricht der Einstellung, die Debug-Ausgabe für EC KSP entweder zu aktivieren (1) oder zu deaktivieren (0).
-
Einrichten von Signtool zum Signieren
Beim Einrichten von Signtool für die Codesignatur müssen Sie sicherstellen, dass das Dienstprogramm Signtool.exe auf Ihrem Computer verfügbar und für die korrekte Interaktion mit dem Kryptografieanbieter von Encryption Consulting konfiguriert ist, der Zugriff auf den privaten Schlüssel Ihres Codesignaturzertifikats bietet.
Schritte:
-
Herunterladen und Installieren des Windows SDK
-
Laden Sie über den folgenden Download-Link das Windows Software Development Kit mit den folgenden ausgewählten Tools herunter: developer.microsoft.com/en-us/windows/downloads/windows-10-sdk/
-
Öffnen Sie das Installationsprogramm nach dem Download und wählen Sie auf dem ersten Bildschirm „Weiter“, um die Standardeinstellungen beizubehalten.
-
Folgen Sie den Anweisungen des Installationsassistenten auf dem Bildschirm.
- Akzeptieren Sie die Datenschutzbestimmungen des Windows Kit.
- Akzeptieren Sie die Endbenutzer-Lizenzvereinbarung.
-
Deaktivieren Sie alles außer „Windows SDK Signing Tools for Desktop Apps“ und wählen Sie „Installieren“.
-
Gehen Sie zum folgenden Pfad, in den die Tools heruntergeladen worden sein sollten: „C:\Programme (x86)\Windows Kits\10\bin“. Wählen Sie das gewünschte Versionsverzeichnis aus und prüfen Sie, ob die Datei „signtool.exe“ vorhanden ist.
- Stellen Sie sicher, dass Sie sich im x64-Verzeichnis befinden, und kopieren Sie diesen Verzeichnispfad.
-
-
Pfad zu Signtool.exe in Umgebungsvariablen hinzufügen
-
Öffnen Sie die Umgebungsvariablen über das Startmenü.
-
Scrollen Sie durch die Systemvariablen in der unteren Tabelle nach unten, bis Sie PATH in den Variablennamen finden.
-
Doppelklicken Sie in den Systemvariablen auf PATH und wählen Sie links auf dem Bildschirm Neu. Fügen Sie den kopierten Verzeichnispfad von „signtool.exe“ in die neue Auswahl ein.
- Wählen Sie unten „OK“ aus, um die Seite „Umgebungsvariablen“ zu verlassen.
-
TeamCity einrichten
Beim Einrichten von TeamCity müssen Sie Ihre TeamCity-Umgebung, insbesondere die Build-Agenten und Build-Konfigurationen, vorbereiten, um eine automatische Code-Signierung mit CodeSign Secure und KSP von Encryption Consulting durchzuführen.
Schritte:
-
Laden Sie die TeamCity-Anwendung herunter und installieren Sie sie
-
Sie können entweder die kostenlose TeamCity-Anwendung oder eine kostenpflichtige Enterprise-Version über das LinkFür die Anwendung stehen drei Betriebssysteme zur Auswahl: Linux, Windows und macOS. Wir arbeiten mit der ausführbaren Windows-Datei.
-
Führen Sie die Anwendung aus, um den TeamCity-Server in Ihrer Umgebung zu installieren.
-
Akzeptieren Sie die Allgemeinen Geschäftsbedingungen und klicken Sie auf „Ich stimme zu“.
-
Behalten Sie die Standardeinstellungen bei, um die Integration und Verwaltung des Servers zu vereinfachen.
-
Klicken Sie auf „Speichern“ und dann auf „OK“, um mit dem nächsten Schritt der Kontoerstellung fortzufahren.
-
Wählen Sie die Option, den TeamCity-Server und den TeamCity-Agenten unter dem Benutzerkonto auszuführen, und klicken Sie auf Weiter. Sie werden aufgefordert, sich als aktueller Benutzer Ihres Systems anzumelden.
-
Wählen Sie beide Optionen zum Starten des Build-Agent-Dienstes und des TeamCity-Serverdienstes aus. Klicken Sie auf Weiter.
-
Klicken Sie auf „Fertig stellen“. Dadurch gelangen Sie zur Web-Benutzeroberfläche von TeamCity, wo Sie Ihre Projekte erstellen und die Konfigurationsrichtlinien festlegen können.
-
Die Web-Benutzeroberfläche läuft auf localhost auf Port 8111 (Standard). Klicken Sie auf „Weiter“, um den Speicherort des Datenverzeichnisses für den TeamCity-Server festzulegen. Greifen Sie über einen Browser auf TeamCity zu, indem Sie http://localhost:8111 aufrufen.
-
Wählen Sie die entsprechende Datenbank aus, in der der Build-Verlauf und Ihre Kontoinformationen gespeichert werden. Wir wählen für dieses Projekt die HSQLDB-Datenbank.
-
Akzeptieren Sie die Lizenzvereinbarung und klicken Sie auf „Weiter“.
-
Erstellen Sie jetzt ein Anmeldekonto für Ihre CI/CD-Pipeline und -Projekte.
-
-
Erstellen Sie ein neues Projekt
-
Nach erfolgreicher Anmeldung gelangst du zum TeamCity Dashboard. Dort kannst du direkt mit der Erstellung deines ersten Projekts beginnen. Klicke dazu auf „Projekt erstellen“.
-
Beim Erstellen eines Projekts in TeamCity haben Sie zwei Möglichkeiten. Sie können dies entweder über ein Repository-Konto oder manuell tun. Sehen wir uns zunächst den manuellen Prozess an. Geben Sie die erforderlichen Details für Ihr Projekt ein.
-
Nach erfolgreicher Erstellung werden Sie aufgefordert, eine Build-Konfiguration zu erstellen.
-
Auch hier haben Sie zwei Möglichkeiten: Repository oder manueller Prozess. Wir fahren erneut mit dem manuellen Prozess fort. Geben Sie die erforderlichen Daten ein und klicken Sie auf Erstellen.
-
Anschließend werden Sie aufgefordert, die Details für die Versionskontrolleinstellungen einzugeben. Dies ist ein optionaler Schritt. Wir werden ihn für dieses Projekt überspringen.
-
-
Erstellen Sie eine Pipeline in Ihrem Projekt
-
Nachdem wir die allgemeinen Projekt- und Konfigurationseinstellungen eingerichtet haben, können wir unserer Pipeline nun Build-Schritte hinzufügen. Dies sind die Prozesse, die tatsächlich Code-Signaturvorgänge ausführen.
-
Klicken Sie auf die Schaltfläche „Build-Schritt hinzufügen“ und wählen Sie „Befehlszeile“ aus der Dropdown-Liste.
-
Anschließend werden Sie aufgefordert, die Details für die Versionskontrolleinstellungen einzugeben. Dies ist ein optionaler Schritt. Wir werden ihn für dieses Projekt überspringen.
- Geben Sie die grundlegenden Details wie Schrittname und Schritt-ID an.
-
Wählen Sie die Option „Benutzerdefinierter Skriptcode“ aus der Dropdown-Liste des Felds „Skript“ und geben Sie das Cmd-Skript ein, um den Signaturvorgang mit den erforderlichen Details durchzuführen.
Nachfolgend finden Sie ein Beispiel für ein Befehlszeilenskript zu Ihrer Information:
signtool sign /csp "Anbieter von Schlüsselspeichern für Verschlüsselungsberatung" /kc /fd /F /tr /td
Im Folgenden sind die Flags und ihre Bedeutung im Befehl aufgeführt:
- /csp: Hiermit wird der zu verwendende Schlüsseldienstanbieter angegeben. Dies sollte immer „Encryption Consulting Key Storage Provider“ sein.
- /kc: Dies sollte der Name des privaten Schlüssels sein, der mit Ihrem Zertifikat verknüpft ist. Dies ist wahrscheinlich derselbe Name wie der Zertifikatsname.
- /fd: Dies ist der Signaturalgorithmus, der mit der Signaturfunktion verwendet werden soll. Dies kann SHA256, SHA384 oder SHA512 sein.
- /f: Der Name des Zertifikats, das zum Signieren verwendet werden soll. Dies sollte derselbe Name wie das Flag /kc sein.
- /tr (optional): Dies ist die URL der zu verwendenden Zeitstempelstelle. Wenn /tr nicht verwendet wird und kein Zeitstempel erforderlich ist, sollte /td ebenfalls aus diesem Befehl weggelassen werden.
- /td (optional): Dies ist der Signaturalgorithmus, der mit dem Zeitstempelserver verwendet werden soll. Möglich sind SHA256, SHA384 oder SHA512. Dieser Algorithmus sollte mit dem Feld /fd identisch sein. Wenn /tr nicht verwendet wird und kein Zeitstempel erforderlich ist, sollte /td ebenfalls aus diesem Befehl weggelassen werden.
- : Dies ist der Name der zu signierenden Datei. Diese Datei muss sich in dem Verzeichnis befinden, in dem dieser Befehl ausgeführt wird.
-
Der gesamte Schritt sollte in etwa wie im Bild unten aussehen:
-
Wiederholen Sie nun den obigen Vorgang, um einen weiteren Build-Schritt zur Überprüfung der signierten Datei zu erstellen.
Nachfolgend finden Sie ein Beispiel für ein Befehlszeilenskript zu Ihrer Information:
Signtool-Überprüfung
-
Der gesamte Schritt sollte in etwa wie im Bild unten aussehen:
-
TeamCity Pipeline ausführen
- Um die Pipeline nun auszuführen, klicken Sie oben rechts in der Projektansicht auf „Ausführen“.
-
Nachdem Sie auf „Ausführen“ geklickt haben, können Sie die Live-Aktion der Pipeline sehen, indem Sie auf „Agenten“ (oben links) klicken -> Agentennamen auswählen -> Buildverlauf.
-
Eine erfolgreiche Ausführung einer Pipeline sieht folgendermaßen aus. Hier können Sie sehen, dass beide Build-Schritte – Signierung und Verifizierung – abgeschlossen wurden.
