背景

我有一个带有两个用户帐户（condor_usr1和condor_usr2）的Windows 7 VM，该帐户用于源代码编译。condor_usr [1 | 2]帐户是管理员组的成员。我有一个HTCondor主VM，该VM定期接收作业并分配每个作业以在condor_usr [1 | 2]帐户之一上运行。Win7 VM上的condor服务以本地系统帐户身份运行，但是正在执行的作业实际上是以condor_usr [1 | 2]帐户身份运行。

我对签名已编译的可执行文件有新的要求。我已将带有私钥的证书导入Windows证书存储区中的Current User \ Personal密钥存储区。

问题

如果我以condor_usr帐户之一登录Win7 VM（例如，通过远程桌面），则以该帐户运行的编译程序将成功签署可执行文件，而以其他帐户运行的编译程序将无法签署可执行文件。例如，如果我以condor_usr2身份登录，则在condor_usr2下运行的编译将成功签名，而在condor_usr1下运行的编译将无法签名。如果我注销，则两个帐户都无法签名。

我收到的具体错误是：

C:\Program Files (x86)\Microsoft Visual Studio\2017\Professional\MSBuild\Microsoft\VisualStudio\v15.0\OfficeTools\Microsoft.VisualStudio.Tools.Office.targets(264,9): error MSB3482: An error occurred while signing: The system cannot find the file specified.

打开某些审核日志记录，发现以下与签名失败同时发生的日志。

目标

不管编译运行的是哪个帐户，并且都不需要用户登录，都可以成功签名已编译的可执行文件。

到目前为止我已经弄清楚了什么

• 正在编译的代码/项目是Visual Studio 2017解决方案。
• 签名方法是ClickOnce清单签名（VS2017项目中的一个选项）。
• 启动编译作业后，该作业将使用登录类型2（交互式登录）以condor_usr [1 | 2]身份登录。https://ss64.com/nt/syntax-logon-types.html

我尝试过的事情

除非另有说明，否则这些操作无效，并且已还原。

• 将condor_usr帐户添加到Cryptographic Operators组。
• 将带有私钥的证书导入本地计算机\个人密钥存储。
  • 授予网络服务帐户对证书/私钥的完全控制权限。https://community.dynamics.com/nav/b/technicaltipsandtricksfordynamicsnav/posts/how-to-grant-access-to-the-certificate-s-private-key-to-the-service-account-for-microsoft-动态导航服务器
• Using PsExec -h make.bat to obtain the account's elevated token. https://docs.microsoft.com/en-us/sysinternals/downloads/psexec
• I considered that User Account Control (UAC) may be preventing the system account and/or condor_usr account from accessing the certificate store (or private keys in the cert store), but UAC is already disabled on the Win7 VM.
• I placed the original .pfx certificate file in the VS2017 solution and targeted it instead of the certificate in the key store. This had no effect, which leads me to believe that the issue is some sort of signing permission rather than (or perhaps in addition to) purely permissions around the actual certificate store.
• 我尝试通过远程桌面登录时开始作业，然后在作业进入签名部分之前注销远程桌面会话（实际注销，而不是断开连接）。签名失败。