CI/CD code signing Problem (Sectigo)

[Whookie]

Ich habe gerade ein Update auf's aktuelle Sectigo Code Signing gemacht und einen USB-Dongle erhalten (hatte vorher einfach entspr. Dateien).

Jetzt stellt sich aber folgendes Problem:
Ich verwende die Gitlab CI und erstelle meine Software (und Installer) auf einer VM. Mit dem SEH USB-Server (den ich auch für andere Zwecke verwende), kann ich den USB-Token problemlos in die VM mappen aber das eigentliche Problem entsteht beim Aufruf vom signtool.
Jeder Aufruf bewirkt, dass der SafeNet Authentication Client aufpoppt und das Tokenpasswort verlangt ... verständlicherweise ist das nicht gerade CI - freundlich!

Der Support von Sectigo (was für ein schöner Namen übrigens) sagt, ich könnte das Passwort auch nur einmal (täglich) eingeben und dann bleibt es aktiv bis ich auslogge (über SafeNet-Clienteinstellung konfigurierbar) ... aber auch das ist für die Verwendung in der CI nicht wirklich praktikabel ...

Auf die Frage ob es andere Möglichkeiten/Produkte gibt um in einer CI Umgebung automatisch zu Programme zu signieren meinen sie:

Zitat:

...
CA's globally stop issue digital copy of code signing certificate The token is specifically designed to safeguard your private key, ensuring it cannot be stolen or copied.

Please be informed that as of now we do not have a workaround for token certificate as you mentioned in your email.
...

Da sie vorher auch behauptet haben, dass man den USB-Token nicht in eine VM verbinden kann, gibts ja vielleicht doch Möglichkeiten die den Sectigo - Leuten und mir nicht bekannt sind?

Habt ihr vielleicht Erfahrungen damit oder gar einen Workaround?
Kennt ihr eventuell andere Möglichkeiten/Produkte, die es erlauben Software in einer automatisierten Umgebung zu signieren?

[freimatz]

Ich weis zumindest, dass es bei uns automatisch läuft auf VMs. Ich meine dass jede VM einen eignen YUBI-Key hat

[Uwe Raabe]

Zitat von Whookie:

Kennt ihr eventuell andere Möglichkeiten/Produkte, die es erlauben Software in einer automatisierten Umgebung zu signieren?

Vielleicht wäre das ja eine Lösung: https://www.finalbuilder.com/signotaur