Подписание кода с помощью VSTS и GitHub Sources

Как и другие, я использую GitHub для своих проектов с открытым исходным кодом. Теперь я хочу использовать VSTS в качестве службы сборки и выпуска вместо AppVeyor.

В будущем я хочу подписать все свои пакеты NuGet.

но: где мне хранить файл сертификата (pfx)?

  • VSTS не имеет keyvault
  • Я не хочу хранить мой файл pfx на GitHub или любом другом публичном месте

Мои идеи

  • Я мог бы сохранить pem (base64) в сборке var и создать с openssl во время сборки сертификата (pfx)
  • Я мог бы сохранить файл pfx в закрытом и защищенном хранилище больших двоичных объектов и загрузить файл pfx во время сборки

Какова лучшая практика здесь?

Источник

1 ответ

Решение

Обе ваши две идеи выглядят хорошо для меня. А поскольку вы используете VSTS, который поддерживает только частный репозиторий, вы также можете создать частный репозиторий в своей учетной записи VSTS для хранения файла pfx, а затем добавить задачу в определение сборки / выпуска, чтобы получить файл во время сборки / выпуска.

Источник
Другие вопросы по тегам