ClickOnceで使用できたコード署名が、MSIXで使用できない理由を調査し、対応した
背景
この間、ClickOnceの発行をする時に、使用したコード署名証明書（コードサイニング証明書）をPCの証明書ストアにインストールしたので、 .NET Coreアプリケーションの配布形式であるMSIXでも試してみました。
MSIX形式で配布する方法を調べると、以下のサイトに詳しくのっていました。
サイトを参考に、.NET CoreのWPFアプリケーションを作成し、Windows アプリケーション パッケージ プロジェクト（以下、パッケージプロジェクト）をソリューションに追加しました。
パッケージプロジェクトを右クリックして、「公開」⇒「アプリ パッケージの作成」と進んで、「署名方法の選択」画面から、「Store から選択」をクリックします。
この後、証明書の選択ウィンドウが出てくるのですが、画面には「証明書がありません」のメッセージ。
？？と思い、現在のソリューションを一旦終了して、.NET Frameworkプロジェクトを開き、プロジェクトのプロパティから署名メニューを選択すると、コード署名証明書はあります。「ストアからの選択」にも表示されます。
本題
ClickOnceで使用できたコード署名が、MSIXで使用できない理由を調べました。
パッケージプロジェクトの画面では、テスト用の証明書を作成する事が出来ます。作成したファイルは、プロジェクトにpfxファイルとして保存されます。
テスト用証明書を作成して、それを証明書ストアにインストールしてみました。その後、「Store から選択」を押してみると、インストールしたテスト用証明書が選択できます。
また、対象のコード署名証明書をファイルにエクスポートして、「ファイルから選択」でエクスポートしたファイルを選択してみました。すると「選択された証明書はコード署名には無効です。」というエラーメッセージが表示されました。
という事は、ClickOnceの発行に使用したコード署名証明書に問題がありそうです。エラーメッセージから検索したり、対象のコード署名証明書とテスト用証明書のフィールドを見比べると以下がわかりました。
フィールド：基本制限（basic constraints, oid=2.5.29.19）の値に Subject Type=End Entity が設定されていない。
アプリケーション パッケージへの署名 (Windows ストア アプリ) | Microsoft Docs
パッケージ署名用証明書を作成する - MSIX | Microsoft Docs
以前にルート証明書について調べたときに、この値はCAかどうかを指定すると書いてあったので、ルート証明書ではないので、Subject Typeは空欄にしていました。前述のようにClickOnceでは使えていました。
以下のように、PowerShellのNew-SelfSignedCertificateコマンドレットを使用して、基本制限を設定したテスト用証明書その２を作成したところ、「Store から選択」に表示されました。
> New-SelfSignedCertificate -FriendlyName "証明書を人が区別するための名前" -DnsName "団体名" -TextExtension @("2.5.29.19={text}") -Type CodeSigningCert -CertStoreLocation "Cert:\CurrentUser\My" -Subject "CN=xxx,O=yyy,OU=zzz,C=JP"
対応
テスト用ではないコード署名証明書は、Active Directory証明書サービス（Active Directory Certificate Services：AD CS）で発行されるため、修正方法を調べて発行しなおしてもらいました。
やったことは、AD CS上でのテンプレートの修正です。具体的には、互換性タブでの対象OSの変更と、拡張機能の基本制限の「有効にする」をチェックしました。
修正後に証明書を更新してもらったところ、新しいコード署名証明書が「Store から選択」に表示されました。
以上
