npm 製 CLI ツールを特定顧客にセキュアに配る — ビルド・署名・配布パイプラインの設計

独自開発の npm 製 CLI ツールを、公開 npm に出さず特定顧客に配る。一見ただのパッケージングですが、実務では OS のセキュリティゲート（Gatekeeper・SmartScreen）の通過、改ざん防止の署名、そして顧客単位でアクセスを制御できる配布網の三つを同時に満たす必要があります。macOS・Windows を主対象に将来の Linux まで見据え、ビルドから署名・配布・サプライチェーン堅牢化までを一本のパイプラインとして設計します。

Windows デスクトップアプリを顧客企業の Intune で配布するベストプラクティス — ソフトウェアベンダー視点で Win32、MSIX、コード署名、自動更新を整理する

顧客企業の Windows PC に自社デスクトップアプリを届ける道は、2026 年時点では Microsoft Intune の Win32 アプリに収束しつつあります。LOB は限定用途、Store for Business は廃止、MSIX は適合する場合のみ、というのが現実です。Win32 を一次選択にするなら、MSI を `.intunewin` でラップし、SHA-256 + タイムスタンプで署名し、検出ルールと Supersedence と ADMX を顧客 IT 部門に渡す。本記事ではソフトウェアベンダーが成果物として用意すべきものと、Azure Artifact Signing（旧 Trusted Signing）の地域制限を含む日本企業特有の論点までまとめます。