Azure Function（Powershell）向私有CA签名证书服务器发起HTTPS请求遇阻

方案1：使用HttpClient结合自定义证书验证（推荐） #

由于Powershell原生Invoke-RestMethod/Invoke-WebRequest的-SkipCertificateCheck参数在Azure Function沙箱环境中可能受限制无法生效，改用.NET的HttpClient配合自定义证书验证逻辑更可靠：

1. 将你的私有根CA证书（如rootCA.cer）上传到Azure Function的wwwroot目录（可通过部署包、Kudu控制台或Azure门户高级工具完成）。
2. 在Powershell函数中加载证书并实现精准验证逻辑：

using namespace System.Net.Http
using namespace System.Security.Cryptography.X509Certificates

# 加载私有CA证书
$caCertPath = Join-Path $PSScriptRoot "rootCA.cer"
$caCert = [X509Certificate2]::CreateFromCertFile($caCertPath)

# 创建自定义HttpHandler
$handler = [HttpClientHandler]::new()
$handler.ServerCertificateCustomValidationCallback = {
    param($sender, $cert, $chain, $sslPolicyErrors)
    # 将私有CA加入验证链的额外存储
    $chain.ChainPolicy.ExtraStore.Add($caCert)
    $chain.Build($cert)
    # 验证服务器证书链是否包含信任的私有CA，且无其他错误
    $trustedCaExists = $chain.ChainElements.Certificate | Where-Object { $_.Thumbprint -eq $caCert.Thumbprint }
    return $trustedCaExists -and ($sslPolicyErrors -eq [System.Net.Security.SslPolicyErrors]::None)
}

# 发起请求并处理响应
$client = [HttpClient]::new($handler)
$response = $client.GetAsync("https://your-private-server.com/api/endpoint").Result
$content = $response.Content.ReadAsStringAsync().Result
Write-Output $content

方案2：强制跳过证书验证（仅测试环境使用） #

如果是临时测试场景，可尝试设置全局证书验证回调绕过检查（注意：生产环境不推荐，存在安全风险）：

add-type @"
using System.Net;
using System.Security.Cryptography.X509Certificates;
public class TrustAllCertsPolicy : ICertificatePolicy {
    public bool CheckValidationResult(
        ServicePoint srvPoint, X509Certificate certificate,
        WebRequest request, int certificateProblem) {
        return true;
    }
}
"@
[System.Net.ServicePointManager]::CertificatePolicy = New-Object TrustAllCertsPolicy

# 执行请求
Invoke-RestMethod -Uri "https://your-private-server.com/api/endpoint" -Method Get

常见失效原因说明 #

• -SkipCertificateCheck参数：Azure Function的Powershell运行时沙箱会限制该参数的底层实现，无法完全绕过证书链验证逻辑。
• 自定义SSL回调失效：若之前未将私有CA证书加入验证链的ExtraStore，或验证逻辑未覆盖证书链的完整校验，会导致验证失败。

内容的提问来源于stack exchange，提问作者ABF