创建Azure VM时使用VM应用静默安装，驱动安装失败求助

我之前帮团队排查过完全相同的Azure VM Applications证书信任问题，结合你手动安装正常的情况，这里有几个经过实践验证的解决方案：

1. 预导入缺失的根CA证书到VM环境 #

VM Applications运行时的系统上下文权限有限，无法自动向受信任根证书存储添加新证书，这是导致报错的核心原因。你可以通过以下两种方式预安装证书：

• 使用自定义镜像：在基础VM上手动导入所需的根CA证书（通过certutil -addstore -f "Root" "C:\cert\rootCA.crt"命令），然后捕获为自定义镜像，后续用这个镜像创建VM并部署VM Applications。
• 通过自定义脚本扩展提前执行：在VM部署流程中，先添加自定义脚本扩展，执行证书导入命令，确保在VM Applications安装前完成证书信任配置。示例脚本命令：

  certutil -addstore -f "Root" "C:\temp\your-root-cert.crt"
  certutil -addstore -f "CA" "C:\temp\your-intermediate-cert.crt"
  

2. 调整VM Application的安装脚本逻辑 #

把证书导入步骤直接整合到VM Application的安装脚本中，确保安装应用前先完成证书信任配置。VM Applications默认以Local System权限执行脚本，足够修改证书存储：

@echo off
:: 导入根CA证书
certutil -addstore -f "Root" "%~dp0rootCA.crt"
:: 导入中间证书（如果有）
certutil -addstore -f "CA" "%~dp0intermediateCA.crt"
:: 执行静默安装
msiexec /i "%~dp0your-app.msi" /qn /norestart

打包VM Application时，把证书文件和安装脚本、应用安装包放在同一目录下，确保脚本能正确找到证书路径。

3. 改用自定义脚本扩展替代VM Applications #

既然你手动通过命令提示符安装可以正常完成，完全可以把静默安装命令迁移到自定义脚本扩展中，和VM部署流程绑定。这种方式和手动操作的权限上下文一致，能避开VM Applications的证书信任限制：

• 在ARM模板或Bicep文件中添加自定义脚本扩展资源，指定执行你的静默安装命令：

  {
      "type": "Microsoft.Compute/virtualMachines/extensions",
      "name": "[concat(parameters('vmName'), '/CustomScriptExtension')]",
      "apiVersion": "2023-07-01",
      "location": "[parameters('location')]",
      "dependsOn": [
          "[resourceId('Microsoft.Compute/virtualMachines', parameters('vmName'))]"
      ],
      "properties": {
          "publisher": "Microsoft.Compute",
          "type": "CustomScriptExtension",
          "typeHandlerVersion": "1.10",
          "autoUpgradeMinorVersion": true,
          "settings": {
              "commandToExecute": "msiexec /i \"C:\\path\\to\\your-app.msi\" /qn /norestart"
          }
      }
  }
  

快速验证步骤 #

1. 在测试VM上手动导入缺失的根CA证书，然后尝试用VM Applications安装应用，确认是否解决报错。
2. 若预导入证书有效，再把证书导入步骤整合到自动化部署流程中，确保所有新VM都能提前完成证书信任配置。

内容的提问来源于stack exchange，提问作者zeljko ancimer