使用 signtool 对 WIX 工具生成的 setup.exe 进行签名会导致拒绝访问错误

如何解决使用 signtool 对 WIX 工具生成的 setup.exe 进行签名会导致拒绝访问错误

我使用 Wix 工具为我正在创建的应用程序构建安装程序。该项目位于 Azure Devops 服务器上，CI 在 Azure Devops 管道中创建。有一个专用的 W10 虚拟机托管 Azure Devops 代理，用于为应用程序构建安装程序。安装程序构建完成后，有一个 powershell 脚本步骤 - 它运行 singtool.exe 以对 Setup.exe 文件进行签名。问题是这一步失败了，signtool 的 stderr 给出了以下信息：

SignTool Error: Access is denied.
SignTool Error: An error occurred while attempting to sign: C:\agent\_work\2\s\04-Source\bin\Release\Setup.exe

我登录到 VM 并手动运行脚本，我遇到了同样的错误。以下是有关我的设置的一些信息：

• 代理不作为服务运行。它是从以管理员模式运行的 powershell 启动的。

• 运行构建代理的帐户不是安装了证书的帐户，因此签署代码的powershell脚本通过以下方式调用signtool：

  start-process -FilePath $signTool -ArgumentList $signToolArgumentList -NoNewWindow -Wait -Credential ($certificateHolderCredentials)

• 保存 setup.exe 的文件夹没有设置任何特殊权限。

• 在对 setup.exe 进行签名的步骤之前，有一个步骤是使用完全相同的 powershell 脚本对源代码 .dll 文件进行签名并且可以正常工作。

• setup.exe 未被其他进程锁定 - 我可以轻松修改其名称并将其移动到不同位置。

• 当我说我登录到虚拟机时，我的意思是我使用运行代理的帐户的凭据来登录。

• 两个帐户 - “构建代理”和安装了证书的帐户都添加到了管理员组。

我尝试过的：

• 将文件复制到其他位置 - 我可以使用脚本对副本进行签名，但不能对原始文件进行签名。这不是我想要的方式。
• 更改文件的所有权以建立帐户和持有证书的帐户 - 没有帮助。
• 更改文件夹权限，以便所有组都拥有文件夹及其内容的所有权限 - 即使文件继承权限也无济于事。
• Checked if file is readonly - 它不是 :).

这可能是我对 Windows 权限在这种情况下的工作方式缺乏了解，但此时我没有想法。任何帮助将不胜感激。