コード署名用の証明書はとりあえず以下のようなセクションをopenssl.confに書いて-extensions codeSigningのようにオプションを指定すれば作成できるようである。
[codeSigning] subjectKeyIdentifier = hash keyUsage = critical, digitalSignature authorityKeyIdentifier = keyid, issuer extendedKeyUsage = codeSigning
critical指定はお好みで。
Microsoft Windows向けのコード署名には高価なコードサイニング証明書を買わないといけないと思われているようだが，実際のところオレオレ証明書で可能だったりする。(信用はされないかもしれないが。)
コード署名用のオレオレ証明書の作成方法は別の機会に書くとして，証明書ストアに証明書があればsigntool sign /a example.exeとするだけでできてしまうのであった。
もっともこれだけだと証明書の有効期限が切れると署名が無効になってしまうので，signtool sign /a /t Timestamp-URL example.exeとしてタイムスタンプサーバーを利用すると良い。タイムスタンプサーバーもオレオレ証明書で問題がなかったりする。
リンク: SignTool.exe (署名ツール).