Windows10环境下如何为AWS CLI及AWS SDK添加SSL证书调用AWS API

1. 根证书状态检查 #

AWS Price API使用亚马逊信任服务签发的公共证书，正常Windows 10系统自带的受信任根证书列表已包含所需凭证，可先确认状态：

• 按下Win+R输入certmgr.msc打开证书管理器
• 定位到「受信任的根证书颁发机构」→「证书」目录
• 查找Amazon Root CA 1、Amazon Root CA 2、Starfield Services Root Certificate Authority - G2三个证书，若存在且状态正常，可跳过手动导入步骤，直接调整SDK配置

2. 手动导入根证书（根证缺失时操作） #

如果上述根证书未在列表中，按以下步骤导入：

• 获取亚马逊公开的根证书PEM格式文件
• 右键点击证书文件，选择「安装证书」，存储位置选择「本地计算机」
• 导入路径选择「受信任的根证书颁发机构」，完成导入即可

3. AWS SDK/CLI证书配置 #

通用环境变量配置（适配所有AWS SDK及CLI） #

该配置全局生效，所有AWS相关工具都会自动读取：

• 按下Win+R输入sysdm.cpl打开系统属性，切换到「高级」选项卡，点击「环境变量」
• 在系统变量区域新建参数：
  • 变量名：AWS_CA_BUNDLE
  • 变量值：证书PEM文件的完整本地路径，例如C:\aws_certs\aws-root-bundle.pem
• 重启所有终端、IDE生效，后续运行AWS相关程序无需再加--no-verify-ssl参数

AWS CLI单独配置（可选） #

如果仅需要给AWS CLI配置证书，可直接修改CLI配置文件：

• 打开路径C:\Users\你的用户名\.aws\config文件
• 在对应使用的配置块中添加一行：ca_bundle = C:\aws_certs\aws-root-bundle.pem

4. 配置验证 #

打开终端执行以下测试命令，无SSL报错且返回正常数据即为配置成功：

aws pricing describe-services --service-code AmazonEC2 --max-results 1

提示：如果处于有SSL代理的企业内网环境，需要将代理的根证书同样导入受信任根列表，同时将代理根证书内容追加到AWS_CA_BUNDLE指定的PEM文件末尾即可。

内容的提问来源于stack exchange，提问作者ander2at