Azure Pipeline调用Rest API遇SSL/TLS安全通道创建失败问题求助

证书安装与权限验证 #

• 确认证书安装位置与权限：若证书安装在本地机器存储，需确保Azure DevOps代理的运行账号（如本地系统账号或指定服务账号）拥有证书私钥的读取权限。可通过证书管理器右键证书→「所有任务」→「管理私钥」，添加对应账号并授予读取权限。
• 检查证书有效性：确认证书未过期、未被吊销，且包含完整私钥（证书图标带有小钥匙标记）。若从Azure库下载的仅为公钥证书，无法用于客户端身份认证。
• 核对证书指纹：调用API时使用的证书指纹需与代理机器上安装的完全一致，注意区分大小写，避免多余空格。

PowerShell脚本调用逻辑修正 #

• 避免直接通过请求头传递证书：证书认证需绑定到请求的SSL上下文，而非放入请求头。正确调用方式如下：

  # 启用强TLS协议
  [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12 -bor [Net.SecurityProtocolType]::Tls13
  # 从指定存储加载证书（根据实际安装位置调整StoreName和StoreLocation）
  $cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Thumbprint -eq "你的证书指纹" }
  # 调用API并传入证书
  Invoke-RestMethod -Uri "目标API地址" -Method Get -Certificate $cert
  

• 匹配证书存储与代理账号：若代理以本地系统账号运行，证书需安装在LocalMachine存储；若为用户账号运行，安装在CurrentUser存储。

SSL/TLS环境额外排查 #

• 验证API服务器证书信任：代理机器需信任API服务器的SSL证书链。若为自签名证书，需将根CA证书安装到代理机器的「受信任根证书颁发机构」存储。
• 检查加密套件匹配：使用Get-TlsCipherSuite查看代理机器可用的加密套件，确认与API服务器要求的套件一致。
• 排除企业代理干扰：若DevOps代理处于企业代理后方，需确保代理允许SSL直通，或在脚本中配置代理：

  $proxy = New-Object System.Net.WebProxy("http://企业代理地址:端口")
  [System.Net.WebRequest]::DefaultWebProxy = $proxy
  

内容的提问来源于stack exchange，提问作者Rupesh Shinde