全体像

(1) Subscription 課金周り AWSのアカウント相当無料あり
└ (2) Resource Group
　 └ (3)コード署名アカウント各サービス相当
　　 ├ (4) ID検証作成者(組織)の存在を検証する
　　 └ (5) Certificate Profile 証明書関係。これがゴール有料

(1) Subscriptionの作成

まずは大枠を作りましょう。ここは指示通りで悩むところは少ないです

トライアル時は無料枠を選ぶこと
- といっても署名プラン代金以外はほぼ0円
- 本番運用時はいろいろ割引プランがあるため適宜検討する
無料でもクレカが必要になります。1ドルオーソリが走ります

Subscriptionを作るとあとでフォローアップ電話が来ます

なおEntra ID(Active Directory)にユーザーアカウントがあったとしても、
Entra IDはAzureサービスではない(??)ためSubscriptionはありません

リソースプロバイダーを登録する

ここからTrusted Signingの公式ガイドを読んでいきます

最初にSubscriptionに対して設定からリソースプロバイダーを登録します
リソースグループではないので地味に注意

(2)と(3) コード署名アカウントを作成する

Azure側、公式ガイドともに機械翻訳のため整合性が取れておらず、使われている単語に注意しましょう

ここではコード署名アカウントと同時にリソースグループを作ります。
今度はポータルトップに飛んで、コード署名アカウントを選択後、設定していきます。

リージョンは初期設定でよいでしょう。
コード署名のプランを選択します。
大体の場合basicの$9.99/月でよさそうです

IAMでコード署名アカウントの中身を操作できるようにする

初期設定だと権限がないためコード署名アカウント自体は作れても証明書が作れません
IAMが別管理です

上記ページの表の通り、一通りこなすにはオーナーであってもロールが追加で2つ必要です。

コード署名アカウントに付随するIAMページから、操作したいユーザー(自分)にロールを付与します。
全体のIAMページではない模様。
ロール検索時は機械翻訳に惑わされずCodeあたりで検索しましょう
ロールはまとめて割当できないので一つずつ行うこと

(4) ID検証する

証明書作成の前に、署名する組織自体を検証します。

本番運用時はPublicがよさそうですが検証に長い時間がかかります。
トライアル時はPrivateがよさそうです。

(5) Certificate Profile を作る

ゴールです

必要に応じて(4)同様Public TrustかPrivate Trustを選べばOK

VBS Enclaveを使いたい方にはこの記事は不要でしょう
Private Truste CI PolicyのCIはContinuous Integrationではありません。忘れてください

Public証明書の注意点

(1) ビジネス識別子は納税者番号を選択し法人番号を入力しましょう
うまくいけばすぐにメールが来て、クリック後1時間かからず認証されます
変な識別子を選択するとすさまじく時間がかかった上に書類をたくさん求められた挙げ句拒絶されます

現時点での信頼された署名でオンボードできるのは、3 年以上の検証可能な税金に関する履歴を持つ法人だけです。より迅速なオンボーディングプロセスのために、検証対象の法人のパブリックレコードが最新であることを確かめます。

アーリースタートアップ等で3年未満の場合は不明です

法人番号は普通にWeb検索すればよく、登記などの会社法人等番号とは異なります(実質ほぼ同じですが)

(2) ID検証についてうまくいかず相談したくても、Azureサポートは契約しても対象外です。
Microsoft Q&AサイトかStack Overflowで公開質問になるとのこと

信頼された署名での ID 検証に関する質問については、Microsoft Q&A (Azure の信頼された署名のタグを使用) または Stack Overflow (信頼された署名のタグを使用) を使用して、お問い合わせください。 Azure サポートは、信頼された署名の ID 検証の問題を解決しません。

(3) 住所など各種情報は日本語で入力してもOKです

ここからGitHub Actions作業へ

全体イメージ図

certificate profileを増減してもクライアント側やその他IAMロールを修正する必要はありません

Q&A

東京リージョンはありますか？
- 今はありません
EV証明書はありますか
- 発行する予定もないとのこと

まとめ

IaaSのセットアップになるのでなかなか大変です。
しかもこの記事には本番運用に必要なIAMやセキュリティ周りはほぼ含まれていません。

AWSでも同様のサービスを提供してほしいですね

おまけ: セキュリティ周り

AWSのSCPとSecurity Hub相当があるのでそれを使いました。
コンピューティングサービス周りは片っ端からブロックし、適宜推奨に基づいて設定

おまけ：更新

ID検証は数年に一度更新が必要です
60日前にメールが来るので画面から更新しましょう
https://learn.microsoft.com/ja-jp/azure/trusted-signing/how-to-renew-identity-validation

certificate profileを作り直す必要があります

タイムスタンプサーバは署名作業のときだけ利用します
現在デフォルトのMSのタイムスタンプサーバは期限が短いので
ほかのタイムスタンプサーバを使ったほうがよさそうです

証明書の期限

Trusted Signing関係ないですが念のため
証明書自体の期限は非常に短いです
それをタイムスタンプの副署(counter-signature)でカバーします
期限がどれくらいかはタイムスタンプサーバ次第