AZ CLI执行az login报错SSL:CERTIFICATE_VERIFY_FAILED自签名证书问题

报错信息 #

[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate in certificate chain (_ssl.c:1125)

错误原因 #

该报错通常出现在企业内网环境下，内网网关、防火墙会注入自签名SSL证书用于流量审计，AZ CLI默认使用的根证书信任列表不包含该自签证书，导致证书校验失败。

解决方案 #

前置准备 #

先获取企业内网自签名根证书（可向公司IT部门索要，也可通过浏览器访问Azure官网后导出站点根证书，需存储为PEM格式，后缀为.crt或.pem均可）

方案1：临时生效（仅当前终端会话有效） #

根据你使用的终端类型执行对应命令替换证书路径即可：

• Linux/macOS 终端：
  export REQUESTS_CA_BUNDLE=/path/to/your/self-signed-root.crt
• Windows PowerShell：
  $env:REQUESTS_CA_BUNDLE = "C:\path\to\your\self-signed-root.crt"
• Windows CMD：
  set REQUESTS_CA_BUNDLE=C:\path\to\your\self-signed-root.crt

配置完成后执行az login即可正常登录。

方案2：全局永久生效 #

执行AZ CLI配置命令指定信任的根证书路径：
az config set core.ca_cert=/path/to/your/self-signed-root.crt

配置完成后所有终端会话执行AZ CLI命令都会自动使用指定的根证书校验SSL连接，无需重复配置。

临时绕过方案（不推荐，仅用于临时测试） #

执行登录命令时添加跳过SSL校验参数：
az login --no-ssl-verify

该方案存在中间人攻击风险，请勿在生产环境、包含敏感数据的环境使用。

内容的提问来源于stack exchange，提问作者SJS Bowley