如何对文件系统驱动程序进行发布签名

准备驱动程序和证书。

为驱动程序签名。

验证驱动程序是否能正确安装。

使用高特权打开一个 WDK 构建环境窗口。

注意：因为签名工具和签名不依赖于特定的 Windows 版本，所以您可以使用任何 WDK 构建环境窗口为驱动程序签名。

使用 WDK 构建实用程序构建 Minispy 驱动程序例子。详细信息请参见 WDK 文档的本地安装程序中的 Minispy 微筛选器示例。

创建名为 C:\MinispyPkg 的文件夹并将驱动程序包文件（minispy.exe、minispy.sys 和 minispy.inf）从项目的目标文件夹复制到 MinispyPkg。

创建一个名为 C:\MyCerts 的文件夹并将 mySPCfile.spc 和 myPVKfile.pvk 复制到该文件夹。

浏览到 C:\myCerts 并运行下列命令将 .pvk 和 .spc 文件转换成系统可以使用的 .pfx 文件 (myPFXfile.pfx)：

pvk2pfx -pvk myPVKfile.pvk -pi myPVKpassword -spc mySPCfile.spc -pfx myPFXfile.pfx -f

使用 Certutil 通过运行下列命令将 myPFXfile.pfx 安装到当前用户的个人证书存储区中：

certutil -user -p myPVKpassword -importPFX IfsSPC.pfx

确保记录 Certutil 返回的 CN 值。也可以通过双击 .pfx 文件运行证书向导并使用向导的默认值完成前面的任务。

注意：Windows Vista 和大部分 Windows 服务器操作系统（包括 Windows Server 2008）都包含 Certutil。Windows XP 不包含 Certutil，但是您可以从另一台计算机复制这个工具或安装 Windows Server 2003 SP1 Administration Tools Pack。关于工具包的更多信息，请参见“Windows Server 2003 Administration Tools Pack."

浏览到 c:\minispyPkg 并运行下列 Inf2Cat 命令，为目标 Windows 版本验证驱动程序包的 INF 文件：

inf2cat /driver:C:\minispyPkg /os:Vista_X64

从 c:\minispyPkg 运行下列 SignTool 命令，为驱动程序二进制文件 (minispy.sys) 签名：

signtool sign /v /ac c:\minispyPkg\myCrossCert.cer /s my /n "CN Value" /t http://timestamp.verisign.com/scripts/timestamp.dll minispy.sys

注意：如果没有 SPC 的 CN 值，那么您可以从 Microsoft 管理控制台 (MMC) 证书插件获取。要打开插件，请运行下列命令：

mmc certmgr.msc

通过运行下列 SignTool 命令来验证签名：

Signtool verify /v /kp minispy.sys

这个命令显示证书链。下面的例子显示 VeriSign 代码签名证书和 Microsoft/VeriSign 交叉证书的证书链：

注意，在这个例子中，顶级证书具有最少的缩进。

重要：如果 Microsoft 代码验证根不是顶级证书，那么您还没有成功地使用交叉证书对您的二进制文件进行签名。

通过在 Windows 资源管理器中右键单击 minispy.inf，然后单击 Install 在 64 位 Windows Server 2008 或 Windows Vista 上安装驱动程序。

通过运行下列 fltmc 命令来加载签名的驱动程序：

fltmc load minispy

注意，用来加载驱动程序的名称（这个例子中是 "minispy"）是驱动程序 INF 文件中的 ServiceName 值。还可以通过运行 'net start minispy' 或 'sc start minispy' 命令来加载驱动程序。

通过不带参数运行 fltmc 来验证签名的驱动程序是否已经成功加载，该命令显示已经加载的筛选器列表：

fltmc

通过运行下列命令卸载和删除签名驱动程序：

rundll32 setupapi,InstallHinfSection DefaultUninstall 132 C:\minispyPkg\minispy.inf

注意：要验证驱动程序是否被成功卸载和删除，请再次运行 fltmc。