Кажется, так работать не будет. Для подписи "в разрыв" нельзя применить /timestamp

timstamp можно делать отдельным шагом, для уже существующей подписи.
у меня и сейчас -- сначала подписывается без таймштампа, а потом в цикле перебираются урлы и выходим если успешный timestamp
просто иногда сервера показывают фигу, если превышен предел обращений за день/месяц или по велению левой пятки, и мне проще было сделать так.

в начале батничка

set URLS=
set URLS=%URLS% http://timestamp.digicert.com
set URLS=%URLS% http://rfc3161timestamp.globalsign.com/advanced
set URLS=%URLS% http://aatl-timestamp.globalsign.com/tsa/aohfewat2389535fnasgnlg5m23
set URLS=%URLS% http://timestamp.sectigo.com
set URLS=%URLS% http://timestamp.comodoca.com
set URLS=%URLS% http://tsa.mesign.com
set URLS=%URLS% http://tsa.startssl.com/rfc3161
set URLS=%URLS% http://freetsa.org/tsr
rem set URLS=%URLS% http://sha256timestamp.ws.symantec.com/sha256/timestamp
set URLS=%URLS% https://rfc3161.ai.moda/microsoft
set URLS=%URLS% https://ca.signfiles.com/tsa/get.aspx
set URLS=%URLS% http://services.globaltrustfinder.com/adss/tsa
set URLS=%URLS% http://timestamp.entrust.net/TSS/RFC3161sha2TS
set URLS=%URLS% http://timestamp.acs.microsoft.com
set URLS=%URLS% https://tsp.iaik.tugraz.at/tsp/TspRequest

а после наложения подписи

:signed
echo Signed, applying timestamp...

for %%U in (%URLS%) do (
  %SGN% timestamp /q /tr %%U /td sha256 %A%
  if %ERRORLEVEL% EQU 0 (
    echo Timestamped using %%U
    exit /b 0
  )
  echo ERRORLEVEL=%ERRORLEVEL% for %%U
)
echo Too many errors on timestamping, exiting
exit /b 1

думаю над вариантом, где получить хэш через signtool sign /dg, подписать его самописной тулзой/сервисом и вклеить обратно через signtool sign /di а потом уже дернуть signtool timestamp

Кажется, так работать не будет. Для подписи "в разрыв" нельзя применить /timestamp

Korsar13,
также попробуйте в SSH сессии выполнить команду Query Session как описано  здесь.
Служба смарт-карт доступна только если session id будет имеет значение "1".

akvis\builder@K13WORK C:\Users\builder.AKVIS>query session
No session exists for *

c:\bin\sysinternals\psexec -accepteula -nobanner -i -u ...имя-юзера... -p ...пароль... certutil -scinfo

то вывод команды я не вижу, но завершается с кодом 0 вместо ошибки:

certutil exited with error code 0

jsign тоже удалось заставить работать, хотя пишут что через него подписывает медленнее -- когда подписывать надо сотни мегабайт, это может оказаться заметно.
думаю над вариантом, где получить хэш через signtool sign /dg, подписать его самописной тулзой/сервисом и вклеить обратно через signtool sign /di а потом уже дернуть signtool timestamp

Korsar13,
1) зарегистрировать сертификат в MY и передавать его в signtool через ключ хеш-сертификата /sha1 <.....>

понял. но я сертификат передаю явным образом через /f с именем .cer файла

Korsar13,
Попробуйте в том же окружении при подключении по SSH:

1) зарегистрировать сертификат в MY и передавать его в signtool через ключ хеш-сертификата /sha1 <.....>
2) добавить в скрипт вызов signtool с флагом /debug
3) добавить в скрипт "certutil -scinfo"

при запуске через ssh certutil -scinfo обламывается по ошибке доступа:

The Microsoft Smart Card Resource Manager is not running.
SCardAccessStartedEvent: Service is in an unknown state.
CertUtil: -SCInfo command FAILED: 0x80070005 (WIN32: 5 ERROR_ACCESS_DENIED)
CertUtil: Access is denied.

при запуске без ssh -- нормально показывает сертификат

"зарегистрировать сертификат в MY" -- не совсем понял, где именно зарегистрировать и как?

1) зарегистрировать сертификат в MY и передавать его в signtool через ключ хеш-сертификата /sha1 <.....>
2) добавить в скрипт вызов signtool с флагом /debug
3) добавить в скрипт "certutil -scinfo"

Здравствуйте, Korsar13,
уточните, пожалуйста, ssh-сервис из-под того же пользователя работает или нет?

ssh-сервис работает от LocalSystem
cmd.exe при ssh-логоне уже работает от конкретного пользователя.

и получается, что в окошке под моим текущим юзером -- работает.
делаю

ssh localhost

на том же ящике под тем же логином, запускаю тот же батничек -- и обламываюсь, приватный ключ не найден.

позднее попробовал -- запуск из-под Task Scheduler так же выдает "нет приватного ключа"