在PowerShell中安装Azure DevOps扩展时遇SSL证书验证错误

问题描述 #

我在PowerShell中执行命令 az extension add --name azure-devops 安装Azure DevOps扩展时，遇到SSL证书验证错误。已经尝试过生成自签名证书、在当前用户范围内安装，并且能ping通错误信息中的objects.githubusercontent.com地址，但问题依然存在。具体错误信息如下：

请确保你有网络连接。错误详情：HTTPSConnectionPool(host='objects.githubusercontent.com', port=443): 对URL的重试次数已达上限: /github-production-release-asset-2e65be/107708057/8c8c37f1-25aa-4394-9b37-ab8655c6d437?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=AKIAIWNJYAX4CSVEH53A%2F20230210%2Fus-east-1%2Fs3%2Faws4_request&X-Amz-Date=20230210T092547Z&X-Amz-Expires=300&X-Amz-Signature=e65868999583f165ce08abf46e4e192fccffcd611847d2da76c25473f27927a4&X-Amz-SignedHeaders=host&actor_id=0&key_id=0&repo_id=107708057&response-content-disposition=attachment%3B%20filename%3Dazure_devops-0.26.0-py2.py3-none-any.whl&response-content-type=application%2Foctet-stream (由SSLError导致(SSLCertVerificationError(1, '[SSL: 证书验证失败] 证书验证失败: 证书链中存在自签名证书 (_ssl.c:997)')))

解决步骤 #

1. 信任GitHub相关根证书

错误核心是系统未认可目标地址的证书链，或是代理插入的证书未被信任，可通过以下步骤导入根证书：

• 打开浏览器访问 https://objects.githubusercontent.com，点击地址栏锁图标 → 「证书」→ 「证书路径」标签页，选中最顶层的根证书（通常为DigiCert Global Root CA）
• 点击「查看证书」→ 「详细信息」→ 「复制到文件」，选择Base64编码的X.509(.CER)格式保存到本地
• 按下Win+R输入 mmc 打开控制台，依次点击「文件」→「添加/删除管理单元」→ 选中「证书」→「添加」→ 选择「本地计算机」→ 完成
• 展开「证书(本地计算机)」→「受信任的根证书颁发机构」→「证书」，右键选择「所有任务」→「导入」，选择刚才保存的CER文件完成导入

2. 临时绕过SSL验证（仅测试环境）

如果是测试场景，可临时禁用证书验证完成安装，生产环境绝对禁止使用：

az extension add --name azure-devops --disable-certificate-validation

3. 配置代理并信任代理证书

若网络通过代理访问，代理可能替换了SSL证书：

• 将代理的根证书导入到上述「受信任的根证书颁发机构」
• 配置Azure CLI使用代理：

az config set proxy.url=http://你的代理地址:端口
az config set proxy.no_proxy=localhost,127.0.0.1

4. 更新Azure CLI到最新版本

旧版CLI可能存在证书兼容性问题，先更新再尝试安装：

az upgrade
az extension add --name azure-devops

内容的提问来源于stack exchange，提问作者Abhishek