微软最近开始强制应用程序使用 EV 代码签名证书进行签名，而不仅仅是普通证书。这些通常来自外部设备，例如 USB 智能卡或 HSM，其中存储了私钥并且无法导出。

想要使用 EV 证书签署应用程序的 SW 公司可能具有自动构建/部署过程。构建基础设施要么（1）在云中，要么（2）本地在服务器机房/建筑物中，或者更糟（3）在他们办公室的机架中。将“签名”服务器分开可能是最好的主意，签名设备连接到它，并且发布的可执行文件仅在此服务器上签名。

我的问题是：在所有三种情况下，该标志服务器应该放在哪里？

如果我们在云中构建基础设施，我们是否应该通过隧道连接到签名服务器所在的本地 VPN？在这种情况下，签名服务器应该在哪里？

或者即使我们在本地有我们的私有构建基础设施，“签名”服务器是否应该只是服务器机房/建筑物中的随机服务器以及其他 10 或 100 台服务器？我是否只需将标志设备插入服务器机房中一台看似“随机”的服务器的 USB 上？也许更好的方法是有一个带摄像头和限制访问的特殊房间。如果我们没有私人服务器机房怎么办？如果我们租一个架子怎么办？钥匙是否应该“躺在”机架中？

如何缩放这个？如果我们有 10 个具有不同键的不同应用程序怎么办？我们每年都去这台服务器，到期后物理更换吗？

该线程部分相关什么是良好的代码签名环境指南？，但由于过于宽泛而被关闭。