企业为一份 Excel 宏完成审核后，不能把“信任发布者”理解成只批准了这份工作簿。微软说明，信任发布者意味着信任使用该发布者证书签名的所有代码；对适用的 Windows 环境，受信任发布者还是 Windows 范围的设置，影响可能超出 Office。企业选型或迁移时，需要核对的是证书信任能覆盖什么、谁有权签名、哪些终端接受这份信任。
本文讨论使用 VBA 宏的桌面 Office 管理。引用的 Microsoft Learn 页面适用范围列有批量许可 Office LTSC 2024、LTSC 2021、Office 2019 和 Office 2016；其他版本、Mac、Web 编辑器及第三方办公套件应分别核对。文件可以打开、签名可以查看和宏可以运行，也是三项不同能力。
一份文件的审核，为什么可能放大成一批代码的信任
设想一个企业同时维护“开票汇总”和“休假统计”两套宏，使用同一张代码签名证书。财务部门只验收了开票汇总，但 IT 将这张证书加入终端的受信任发布者后，信任范围并不自动停在开票文件名上。微软对同一证书有效签名宏的说明，正是这类范围差异的依据。
这个示例不意味着所有文件在所有环境都会运行。实际执行仍要满足产品版本、宏策略和文件来源等条件；它说明的是：证书信任本身不能替代逐个业务版本的发布批准。如果企业需要只放行某一份文件，应向终端管理与安全负责人确认另有怎样的控制，不能从“已签名”三个字推断已完成限制。
先把签名证书当成需要交接的企业资产
微软的受信任发布者说明要求先验证证书并信任来源，才将发布者加入信任范围。用于分发信任的是公共代码签名证书，签名私钥应由企业既有安全流程保管；本文不要求业务人员交出私钥或在个人电脑上复制它。
比起一份“已签名文件清单”，企业更需要一张能回答责任问题的台账：
| 记录项 | 需要回答的问题 |
|---|---|
| 证书标识与责任人 | 是哪张证书、由谁维护、有效期如何跟踪？只记显示名称是否足以区分换发前后证书？ |
| 允许签名的发布流程 | 哪些宏项目可使用它，谁审核代码和业务结果，如何关联签名版本与批准记录？ |
| 终端接受范围 | 哪些设备组、用户和 Office 版本需要它，由哪项管理策略下发？ |
| 退出与替换 | 人员离职、宏停用或证书更换后，由谁停止旧版本分发、更新终端信任并验证结果？ |
证书分组是否需要按业务拆分，应由安全团队结合维护成本和风险决定。本文不把“一项业务一张证书”当成通用要求，但不建议让证书成为没有项目边界和负责人的共享工具。
用受控样本验证范围，不靠弹窗数量验收
迁移试点应由安全和业务人员准备无破坏行为的测试样本，在隔离或已批准的验证环境中执行。不要拿陌生宏来试，也不要为了让样本运行而关闭组织策略。
- 批准版本：记录其业务用途、文件与宏版本、签名证书、终端策略。核对运行结果与预期业务数据，不能只看是否弹窗。
- 同证书的其他版本：用受控样本检查证书信任实际扩展到哪里。如果它超出业务批准范围，记录差异，交给策略负责人处理。
- 未签名或签名异常的样本：按约定确认拦截、提示或处置流程。出现异常时先找原因，不把“手工点允许”计作通过。
- 已退役证书的样本：在完成批准的信任变更后，重新打开代表性文件，核对各设备组的实际结果，并确认管理策略没有再次下发旧信任。
这里验证的是实际部署的控制组合。微软支持文档分别介绍了仅当前会话启用内容与长期信任发布者；两者不能混记。删除受信任发布者也不等于从所有电脑删除了宏文件，更不等于清除了受信任位置或其他许可路径。退出验收需要覆盖这些仍可能影响运行的条件。
把宏执行与在线协作分开采购和交付
如果企业要将历史 Office 文件接入在线协作平台，可以先标出“仅阅读编辑”“依赖 VBA 计算”“依赖本机加载项”等不同任务。在线文件能显示，并不能证明桌面宏及其信任机制能原样迁移；反过来，也不必因为少数宏文件就放弃其他文件的协作改造。
评估石墨办公套件私有部署（以下简称办公套件）时，可将这份依赖与信任范围台账带入预约演示沟通，确认哪些文档任务适合在线协作、哪些仍需保留桌面处理。具体宏和加载项支持以对应交付版本及验证结果为准。最终交接应能说清“谁批准了哪个版本、哪些设备接受哪张证书、如何退出”，而不只是“宏已经能运行”。也可以先看私有化部署方案，了解部署形态与交付范围。