Knowledge Base

DigiCert KeyLocker は、DigiCert が提供するクラウド HSM ベースの鍵管理・コード署名サービスです。秘密鍵をローカル端末に保持せずに安全に管理し、各種署名ツール
からリモートで署名を実行できます。
本ページでは、申請から初期設定、署名環境の構築、代表的な署名ツールの利用方法、トラブルシューティングまでをまとめています。

• 1. KeyLocker の概要
• 2. ご利用開始までの流れ
• 3. CertCentral での申請
  • 3.1 新規申請または更新申請
  • 3.2 発行後の確認事項
• 4. DigiCert ONE へのサインイン
  • 4.1 初回サインイン
  • 4.2 多要素認証の設定
• 5. 署名者と権限の設定
  • 5.1 ユーザー追加とサービスへのアクセス
  • 5.2 署名者の割り当て
  • 5.3 署名回数について
  • 5.4 管理上の注意
• 6. 署名環境の事前準備
  • 6.1 API キーの作成（手動設定の場合）
  • 6.2 クライアント証明書の取得（手動設定の場合）
  • 6.3 ツールのインストール
• 7. 署名ツール別の設定手順
  • 7.0 共通設定（Click-to-Sign 以外）
    • 7.0.1 環境変数の設定
    • 7.0.2 認証情報の保存
    • 7.0.3 DigiCert KSP の登録
    • 7.0.4 キーペアエイリアスの確認と証明書同期
  • 7.1 Click-to-Sign
  • 7.2 SMCTL
    • SMCTL の署名・検証コマンド例
  • 7.3 Microsoft SignTool
    • Microsoft SignTool の署名・検証コマンド例
  • 7.4 JarSigner（DigiCert KSP Library）
    • JarSigner（DigiCert KSP Library）の署名・検証コマンド例
  • 7.5 JarSigner（PKCS#11 Library）
    • pkcs11properties.cfg の作成
    • JarSigner（PKCS#11 Library）の署名・検証コマンド例
  • 7.6 JarSigner（JCE Library）
    • JarSigner（JCE Library）の署名・検証コマンド例
  • 7.7 jSign（PKCS#11 Library）
    • jSign（PKCS#11 Library）の署名コマンド例
• 8. 動作確認とヘルスチェック
  • 8.1 smctl healthcheck の実行
• 9. トラブルシューティング
  • 9.1 ログファイルの確認
  • 9.2 代表的なエラーと確認ポイント
    • トラブル調査時の基本確認項目
• 10. 運用上の注意点
• 11. 関連サイト

1. KeyLocker の概要

KeyLocker は、FIPS 140-2 Level 3 準拠のクラウド HSM 上で秘密鍵を生成・保管しながら、コード署名を行うためのサービスです。署名処理は DigiCert の管理基盤を通じて実行されるため、鍵の持ち出しリスクを抑えながら、組織内での署名運用を統制できます。

• 秘密鍵を安全に保管し、ローカルファイルとして配布しない
• 署名者ごとのアクセス制御や役割分担ができる
• Click-to-Sign、SMCTL、Microsoft SignTool、JarSigner、jSign など複数の署名ツールに対応できる
• 証明書、署名者、クライアントツールを組み合わせて柔軟に運用できる
• 署名登録ユーザ1名まで（変更可能）

コードサイニング証明書で KeyLocker の利用をご希望の場合は、CertCentral のアカウント番号を添えてサポート窓口までご連絡ください。対象の CertCentral アカウントで KeyLocker を利用可能か確認し、必要に応じて製品設定をご案内いたします。

参考：企業認証コードサイニング証明書における秘密鍵の格納に関する要件

2. ご利用開始までの流れ

1. CertCentral で KeyLocker 対応のコードサイニング証明書を申請する
2. 証明書発行後、DigiCert ONE にサインインする
3. 必要に応じてユーザー、署名者、権限を設定する
4. 署名環境の導入方法を選択する（DigiCert ONE Clients または手動設定）
5. 選択した方法でクライアントツールと認証情報を設定する
6. 疎通確認後、本番署名を実施する

参考：

• [CertCentral]EV/OV コードサイニング証明書　申請から取得までの流れ
• CertCentralコードサイニング証明書マニュアル

3. CertCentral での申請

3.1 新規申請または更新申請

CertCentral からコードサイニング証明書を申請します。申請時には、利用用途、組織情報、証明書種別、証明書の配備方法を確認してください。KeyLocker を利用する
場合は、証明書の配備先としてクラウド署名環境を前提とした構成を選択します。

重要：CertCentral 左メニュー［証明書］＞［組織］で登録されている組織情報（社名・住所等）と申請責任者や認証済連絡先担当者情報（氏名・部署名等）、および各アカウントのプロファイルに登録されている姓名・部署名は、必ず英字表記にしてください。2バイト文字が含まれると KeyLocker を利用できない場合があります。

●CertCentral上の製品名称

申請内容や審査状況によっては、追加確認や組織認証が必要になる場合があります。認証については以下KnowledgeBaseを参照してください。

参考：

• 証明書申請時の組織情報入力とデジサートによる組織認証
• 「認証済連絡先」と証明書の申請・発行承認

3.2 発行後の確認事項

• 証明書が DigiCert ONE / KeyLocker 環境で利用可能になっていること

• 必要なユーザーに適切な権限が付与されていること

• 署名対象の運用担当者が決まっていること

• 利用する署名ツールが確定していること

4. DigiCert ONE へのサインイン

4.1 初回サインイン

サインイン方法は、DigiCert アカウントとの連携状況によって異なります。

■DigiCert アカウントと連携済みの場合

DigiCert アカウントにサインインし、［Services］の［My services］から対象サービスを選択してアクセスします。KeyLocker への入口が［Software Trust Manager（STM）］として表示される環境では、該当するサービスを選択してください。

初めてサインインする場合は、案内メールに従って初期設定を完了してください。対象サービスが表示されない場合は、「5.1 ユーザー追加とサービスへのアクセス」を参照してください。

参考：Get started as an Account administrator（サービスの連携とアクセス）

■DigiCert ONE に直接サインインする場合

招待メールまたは登録済みの DigiCert ONE の認証情報を使用してサインインします。初回アクセス時には、パスワードや多要素認証の設定を求められることがあります。DigiCert ONE のアカウント作成メールは、件名「Welcome to DigiCert ONE」または「DigiCert ONEへようこそ」、送信元 no-reply@digicert.com から送信されます。

KeyLocker では、管理者に相当するロールとして KeyLocker Lead を利用します。KeyLocker Lead は、KeyLocker の資産、ユーザー、証明書、キーペア、署名者設定などを管理できます。

• KeyLocker 証明書リクエストを承認した CertCentral ユーザーは、自動的に KeyLocker Lead になります。
• 署名のみを担当するユーザーには、KeyLocker signer ロールを割り当てます。

4.2 多要素認証の設定

多要素認証は、アカウント保護のために重要です。利用できる認証方式は、アカウント設定や管理者による設定内容により異なる場合があります。アカウント設定によっては、認証アプリのほか、メール認証やクライアント証明書認証を利用できる場合があります。実際に表示される認証方式に従って設定してください。

• パスワードは8文字以上で、小文字・大文字・記号・数字をすべて含める必要があります。

• 認証アプリを利用する場合は、Google Authenticator、Microsoft Authenticator などの OTP アプリケーションをインストールしたスマートフォン、またはブラウザ拡張機能の Authenticator などを利用し、QR コードのスキャンまたはコード入力で登録します。

署名運用を担当するユーザーが複数いる場合は、1つのユーザーアカウントを使い回さず、利用者ごとに個別のユーザーアカウントを登録することを推奨します。

多要素認証の詳細については、DigiCert Docs サイト「Set up an authenticator application 」をご参照ください。

5. 署名者と権限の設定

5.1 ユーザー追加とサービスへのアクセス

ユーザーの追加方法は、DigiCert ONEとDigiCertアカウントの連携状況によって異なります。

■DigiCert アカウントと連携済みの場合

管理者は、DigiCert アカウントからユーザーを追加し、利用するサービスへのアクセスを設定します。

1. 管理者が DigiCert アカウントにサインインし、［Access］＞［Create user］を開きます。
2. 氏名、メールアドレス、ユーザー名、対象アカウント、ユーザーグループを設定します。
3. ［Available services］で利用するサービスを選択し、ユーザーを作成します。
4. 追加されたユーザーは、案内メールに従って初期設定を完了し、DigiCert アカウントにサインインします。
5. ［Services］の［My services］から、対象サービスを選択してアクセスします。

KeyLocker への入口が［Software Trust Manager（STM）］として表示される環境では、該当するサービスを選択して KeyLocker へアクセスしてください。

すでにユーザーを追加済みで、対象サービスが表示されない場合は、管理者が［Access］から対象ユーザーを開き、［Services］＞［Update services］で利用するサービスを有効にしてください。

既存サービスとの連携画面が表示された場合は、画面の案内に従って連携を完了します。連携に使用するアカウント情報が不明な場合は、アカウント管理者へ確認してください。

参考：

• DigiCert アカウントでのユーザー追加
• ユーザーへのサービスの有効化

■DigiCert ONE で直接ユーザーを管理する場合

管理者が DigiCert ONE にサインインし、Account Manager の［Access］＞［Users］からユーザーを追加します。

ユーザー情報と対象アカウントを設定し、DigiCert ONE Manager へのアクセスに［KeyLocker］を指定して、必要なロールを割り当ててください。Account Manager の管理操作も担当する場合は、［Account］へのアクセスと必要な権限も設定します。

DigiCert アカウントのユーザー管理画面へ移動する場合は、前項の「■DigiCert アカウントと連携済みの場合」に従ってください。

参考：Create a user（DigiCert ONE でのユーザー追加）

KeyLocker の権限と署名者の設定

いずれの方法でも、追加後に KeyLocker 側のロールを確認してください。

• 管理を担当するユーザー：KeyLocker Lead
• 署名を担当するユーザー：KeyLocker signer

サービスへのアクセスを有効にするだけでは、対象証明書の署名者設定は完了しません。署名を行うユーザーについては、「5.2 署名者の割り当て」も実施してください。

なお、上記は画面にサインインする通常ユーザーの追加手順です。API や自動化処理で使用するサービスユーザーは、DigiCert ONE のサービスユーザー管理から別途作成します。

5.2 署名者の割り当て

対象証明書または鍵に対して、どのユーザーが署名を行えるかを設定します。署名権限が付与されていない場合、ツール設定が正しくても署名できません。

KeyLocker 証明書でコード署名を実行できるのは、対象証明書の Signer として指定されたユーザーのみです。1つの KeyLocker 証明書に指定できる Signer は1名です。Signer は、証明書の有効期間中に変更できます。

変更する場合は、DigiCert ONE にサインインし、KeyLocker メニューの Certificates から対象証明書を開き、Manage signer でSignerを追加または変更します。
CertCentral 上では変更できません。

5.3 署名回数について

DigiCert KeyLocker では、対象証明書に付与された署名回数の範囲で署名できます。初回は1つのコードサイニング証明書のオーダーにつき1名のSignerと1,000署名が
付与されます。実際に利用可能な署名回数は、CertCentral のオーダー詳細画面に表示される「購入済みの署名（Signatures purchased）」および「使用済みの署名
（Signatures used）」を確認してください。追加署名が必要な場合は、証明書が有効な間に1,000単位で追加購入できます。署名回数を追加購入する場合は、
以下の手順で申請します。

1. CertCentral 左メニュー［証明書］＞［オーダー］から対象オーダーをクリックします。
2. 「使用済みの署名（Signatures used）」欄に表示されている「署名をさらに購入する必要がありますか？（Need to purchase more signatures?）」をクリック
   します。
3. 1,000 回、5,000 回、10,000 回、またはカスタム（1,000 回単位）から必要な署名数を選択します。
4. 支払い方法を選択し、内容を確認のうえ申請します。
5. オーダー詳細画面で「購入済みの署名（Signatures purchased）」の署名数が増えていることを確認します。

※証明書の有効期限が切れると、未使用の署名回数は失効します。未使用の署名回数は、更新後の証明書には引き継がれません。

※署名回数追加専用バウチャーのご提供はございません。
 

5.4 管理上の注意

KeyLocker を安全に運用するため、ユーザーアカウントおよび署名権限は定期的に確認してください。

• 利用しなくなったユーザーアカウントや不要な権限は、必要に応じて削除または変更してください。
• 署名操作の履歴を確認できるよう、共用アカウントではなく、利用者ごとの個別アカウントで運用することを推奨します。
• 担当者の異動、退職、業務変更があった場合は、KeyLocker の署名権限やロール設定を見直してください。

6. 署名環境の事前準備

署名環境は、次のいずれかの方法で準備します。まず導入方法を選択してください。

アプリで SMCTL の認証情報を自動生成・保存する場合、6.1・6.2 の手動作成を先に行う必要はありません。利用する署名ツールや認証方法に応じて設定してください。

参考：Signer guide（アプリを使う方法／手動で設定する方法）

6.1 API キーの作成（手動設定の場合）

DigiCert ONE で API キーを作成します。画面構成や権限により、表示されるメニューや操作手順が異なる場合があります。

• 通常のユーザーの場合は、DigiCert ONE のプロフィールまたは Admin Profile から API キーを作成できます。
• サービスユーザーの場合は、サービスユーザー作成時に API キーが生成されます。

重要：API キーは後から再表示できません。API キーが表示されたら、必ずコピーして安全な場所に保存してください。API キーは認証情報に該当するため、平文での共有やメール送付は避けてください。

6.2 クライアント証明書の取得（手動設定の場合）

手動で静的認証を設定する場合は、API キーとクライアント認証証明書を使用します。通常のユーザーは、DigiCert ONE のプロフィールまたは Admin Profile から［Create client authentication certificate］を選択します。

1. ニックネームを入力します。
2. 終了日を設定します。API キーに有効期限がある場合は、その期限を超えないようにしてください。
3. 暗号化方式と署名ハッシュアルゴリズムを確認し、証明書を生成します。
4. 表示されたパスワードを安全な場所に保存します。
5. クライアント認証証明書（.p12）をダウンロードし、保存先を確認します。

パスワードや証明書は後から再表示・再ダウンロードできません。紛失した場合は再作成が必要です。サービスユーザーのクライアント認証証明書は、必要な管理権限を持つユーザーが作成します。

参考：Signer guide：Create your credentials

6.3 ツールのインストール

DigiCert ONE Clients と、従来の Windows クライアントツールのインストーラは役割が異なります。

■DigiCert ONE Clients による導入（推奨）

1. DigiCert ONE にサインインし、KeyLocker の［Resources］＞［Client tool repository］を開きます。
2. ［DigiCert ONE Clients］タブから、ご利用の OS に対応するアプリをダウンロードします。
3. インストーラを実行し、画面に従ってインストールします。
4. アプリを起動し、KeyLocker の Web 管理画面と同じ DigiCert ONE の認証情報でサインインします。
5. ［My client tools］で SMCTL など必要なツールを選択し、［Install］をクリックします。アプリ本体のインストールに続けて、署名に使うツールを追加してください。
6. SMCTL のインストール画面で、以下の認証方法を選択します。自動更新は運用方針に応じて設定します。

認証に使用するユーザーには、対象証明書の署名権限が必要です。サービスユーザーを新規作成した場合も、5.2 の署名者の割り当てを確認してください。

参考：Install your client tools with DigiCert ONE Clients

■サインインに使用するアカウント

アプリ専用のアカウントは不要です。KeyLocker の Web 管理画面へのアクセスに使用しているユーザーで、表示される認証画面に従ってサインインしてください。DigiCert アカウントとの連携状況に応じた初回手順は、「4.1 初回サインイン」を参照してください。

初期接続先は https://one.digicert.com です。別リージョンやデモ環境を利用している場合は、アプリの接続先を利用環境に合わせて変更してください。

アプリへのサインインに、API キーや .p12 ファイルのパスワードを入力するものではありません。サービスユーザーは API 用のため、通常のユーザーとしてアプリにサインインする用途には使用しません。

参考：Get started with DigiCert ONE Clients（初回サインイン）

Version 1.9.0 以降では、原則として OS の既定ブラウザで認証します。ブラウザが開くこと自体は正常な動作です。クライアント証明書認証など、一部の条件ではアプリ内ブラウザを使用します。

参考：Switch your browser used for sign-in

設定後は「 8.1 のヘルスチェック」で接続を確認し、7章の利用ツールに応じた設定とテスト署名を行います。

■Windows クライアントツールを手動で導入する場合

アプリを利用せずに設定する場合は、「6.1 API キーの作成（手動設定の場合）」および「6.2 クライアント証明書の取得（手動設定の場合）」 で認証情報を準備し、以下のパッケージを導入してください。

Windows 環境では、KeyLocker 関連ツールやライブラリを DigiCert 提供の最新パッケージでインストールします。利用する方式に応じて、KSP、PKCS#11、JCE など必要なコンポーネントを選択してください。

Windowsクライアントツールは、DigiCert ONE にサインイン後、KeyLocker メニューのResources ＞ Client tool repository から取得します。Client tools タブでWindowsを選択し、clients installerをダウンロードしてください。

Mac OS で利用する場合は、DigiCert KeyLocker 左メニュー［リソース］＞［クライアントツール］から「Keylocker Mac Clients」をダウンロードしてください。

7. 署名ツール別の設定手順

7.0 共通設定（Click-to-Sign 以外）

コマンド例は Windows のコマンドプロンプトを前提としています。利用する認証方法に応じて設定してください。

• 手動で静的認証を設定する場合：7.0.1・7.0.2 を実施します。
• アプリで認証情報を自動設定した場合：7.0.1・7.0.2 の設定済み項目を再登録する必要はありません。ヘルスチェックで設定を確認し、不足する項目のみ設定してください。
• 動的認証を選んだ場合：以下の案内を参照してください。7.0.2 の API キー・証明書パスワードの手動保存は、動的認証の設定手順ではありません。

KSP の登録、証明書の同期、外部署名ツールの導入・Path 設定などは、利用するツールと現在の設定状態に応じて確認します。アプリによる導入後も、必要な項目は 7.0.3 以降を参照してください。管理者権限を必要とする操作では、コマンドプロンプトを管理者として実行してください。

動的認証を利用する場合

SMCTL から動的認証を使用する場合は、--dynamic-auth を指定します。

Simple signing の例：

SignTool や JarSigner と連携し、KSP・PKCS#11 ライブラリを使用する場合は、--dynamic-auth の指定だけでは不十分です。Windows のコマンドプロンプトでは、同じウィンドウで次の設定を行ってから署名コマンドを実行します。

利用するツール・ライブラリが動的認証に対応していることを確認してください。上記の設定を、Click-to-Sign や JCE を含むすべての署名方式に一律に適用するものではありません。

参考：Dynamic authentication commands

7.0.1 環境変数の設定

上記の SM_HOST は本番環境の例です。接続先は利用環境に合わせてください。Path やライブラリの参照先は、実際のインストール先に合わせます。DigiCert ONE Clients で導入した場合に、上記の MSI の既定パスをそのまま使用しないでください。

JCE Library を利用する場合は、JCE プロバイダーと Bouncy Castle ライブラリのパスも追加で設定します。

7.0.2 認証情報の保存

APIキーとクライアント認証証明書のパスワードは、Windows 資格情報マネージャー（Windows Credential Manager）への保存を推奨します。平文の永続環境変数として
保存しないでください。

以下のコマンドで認証情報を保存します。

正常に保存されると、以下のメッセージが表示されます。

保存後、SM_HOST と SM_CLIENT_CERT_FILE を環境変数として設定します。

7.0.3 DigiCert KSP の登録

Microsoft SignTool または JarSigner（DigiCert KSP Library）を利用する場合、DigiCert KSP ライブラリが未登録であれば以下を実行します。

7.0.4 キーペアエイリアスの確認と証明書同期

Microsoft SignTool、Mage、NuGet などで証明書フィンガープリントを指定して利用する場合は、事前に証明書を Windows 証明書ストアへ同期します。以下のコマンドで証明書を同期してください。

SMCTL で署名する場合は、キーペアエイリアスを指定する方法を推奨します。

署名コマンドでタイムスタンプを指定する場合は、公式ドキュメントで使用されている[  http://timestamp.digicert.com ]を利用します。

7.1 Click-to-Sign

本節は、API キーとクライアント認証証明書を使用する Click-to-Sign の設定手順です。DigiCert ONE Clients で SMCTL の認証を設定しても、本節の入力項目がすべて自動設定されることを意味しません。

Click-to-Sign は、GUI ベースで署名を実行したい場合に適した方式です。KeyLocker 用の設定を行ったうえで、対象ファイルを選択して署名を実行します。

1. KeyLocker クライアントコンポーネントをインストールする

2. 必要な認証情報を設定する

3. Click-to-Sign 上で証明書または署名設定を確認する

4. テストファイルで署名確認を行う

※Click-to-Sign の署名設定では、タイムスタンプを含める設定を有効にすることを推奨します。タイムスタンプを付与することで、証明書の有効期限後も署名済み
ソフトウェアの信頼性を維持しやすくなります。

※複数の証明書またはキーペアが表示される場合は、「Select keypair」欄で署名に利用する証明書のオーダー番号を選択してください。選択後、右側に表示される
証明書情報を確認し、対象の証明書であることを確認してから署名を実行してください。
 

7.2 SMCTL

SMCTL は、コマンドラインで KeyLocker を操作するためのツールです。CI/CD や自動化処理との相性が良く、証明書一覧の確認、キーペア参照、署名実行、疎通確認などに利用できます。SMCTLには、サードパーティ署名ツールと連携するTraditional signingと、DigiCertの署名ツールで署名するSimple signingがあります。
利用するファイル種別や運用方式に応じて、利用方法を選択してください。

1. SMCTL をインストールする

2. 6章で選択した認証方法に従って設定する

3. 動的認証の場合は、7.0の追加設定を確認する

4. ヘルスチェックや証明書参照コマンドで動作確認する

SMCTL の署名・検証コマンド例

• SMCTL で署名する場合は、キーペアエイリアスを指定して署名します。

• 署名済みファイルを検証する場合は、以下のコマンドを実行します。

• 証明書フィンガープリントを指定して署名する場合は、事前に証明書が Windows 証明書ストアへ同期されていることを確認してください。

7.3 Microsoft SignTool

Windows のコード署名で一般的に利用される Microsoft SignTool は、KeyLocker と連携して利用できます。通常は DigiCert KSP を用いた設定を行い、証明書ストアや
キープロバイダー経由で署名します。SignToolはDigiCert提供のWindowsクライアントツールには含まれていません。SignToolを利用する場合は、Microsoft Windows SDK等
から別途インストールしてください。

1. Windows 環境に必要な KeyLocker コンポーネントを導入する

2. 証明書参照方法とキープロバイダー設定を確認する

3. SignTool コマンドで署名とタイムスタンプ付与を実施する

Microsoft SignTool の署名・検証コマンド例

7.4 JarSigner（DigiCert KSP Library）

Java アプリケーションや JAR ファイルの署名では、DigiCert KSP Library を利用する構成があります。Windows 中心の運用で、既存のプロバイダー連携に合わせたい場合に有効です。

JarSigner（DigiCert KSP Library）の署名・検証コマンド例

7.5 JarSigner（PKCS#11 Library）

以下の library は MSI 導入時のパス例です。DigiCert ONE Clients で導入した場合は、実際の smpkcs11.dll の配置先を指定してください。

PKCS#11 ライブラリを利用することで、より標準的な暗号インターフェース経由で JarSigner と連携できます。Java 実行環境や設定ファイルの整合性が重要です。

pkcs11properties.cfg の作成

JarSigner（PKCS#11 Library）または jSign（PKCS#11 Library）を利用する場合は、以下の内容で pkcs11properties.cfg を作成します。

JarSigner（PKCS#11 Library）の署名・検証コマンド例

7.6 JarSigner（JCE Library）

JCE ライブラリを利用する方法では、Java 環境向けに KeyLocker を統合できます。対象バージョンやサポート要件を確認したうえで設定してください。

JarSigner（JCE Library）の署名・検証コマンド例

7.7 jSign（PKCS#11 Library）

jSign を利用する場合も、PKCS#11 ライブラリによる KeyLocker 連携が可能です。Java ベースの署名処理を自動化したい場合に適しています。

jSign（PKCS#11 Library）の署名コマンド例

8. 動作確認とヘルスチェック

本番署名の前に、必ず接続確認とテスト署名を実施してください。特に初回設定時や端末変更時は、認証情報、ネットワーク接続、証明書参照、署名権限の各項目を確認することが重要です。

1. SMCTL 等による認証確認

2. 証明書または鍵情報の一覧取得

3. テストファイルへの署名

4. タイムスタンプ付与の確認

5. 署名後の検証

8.1 smctl healthcheck の実行

コマンドプロンプトで、設定した認証方法に応じて実行します。

静的認証（アプリでの認証情報保存、または手動設定）：

動的認証：

接続状態、認証ユーザー・対象アカウント、署名権限（例：Can sign: Yes）、利用する署名ツールの連携状況を確認します。表示項目は認証方法やツールのバージョンにより異なります。

コマンドが見つからない場合は、SMCTL がインストールされているか、Path に登録されているかを確認してください。アプリで導入した場合も、アプリ本体に続けて SMCTL のインストールが必要です。

MSI の既定インストール先へ移動して実行する例：

インストール先が異なる場合は、実際の SMCTL の配置先に置き換えてください。接続確認後は、テスト署名と署名後の検証も実施します。

参考：

• Signer guide：Verify that you’re ready to sign
• Dynamic authentication commands

9. トラブルシューティング

DigiCert ONE Clients のサインイン・導入に関する確認

9.1 ログファイルの確認

トラブル調査時は、以下のログを確認してください。

9.2 代表的なエラーと確認ポイント

10. 運用上の注意点

運用開始後も、定期的に権限、証明書状態、署名フロー、利用端末を見直すことで、安全で継続的な署名運用につながります。

• API キー、クライアント証明書、パスワードは厳重に管理してください。

• 署名端末を限定し、設定変更履歴を確認できるようにしてください。

• 本番利用前に、テスト署名と署名後の検証を実施してください。

• 利用者の追加・削除・異動・業務変更があった場合は、署名権限を確認し、必要に応じて見直してください。

• 自動化環境で利用する場合は、認証情報の保管先とローテーション手順をあらかじめ定めてください。

• 問題発生時に備えて、ログ採取手順と問い合わせ経路を事前に確認してください。

11. 関連サイト

詳細な設定手順やツール別の実装例、トラブル対応が必要な場合は、以下の公式ドキュメントを参照してください。

一部英語サイトとなります。必要に応じてブラウザの翻訳機能などをご活用ください。