本地Terraform配置公司自有CA证书解决代理SSL连接问题

针对你遇到的Terraform通过公司代理时的SSL连接问题，我整理了几种经过验证的配置方式，你可以根据自己的使用场景选择：

Terraform会自动识别系统层面的SSL证书环境变量，这和你之前配置RubyGems、Pip的思路一致：

• 在Linux/macOS终端临时生效：

  export SSL_CERT_FILE="/absolute/path/to/your/company-ca.crt"
  export REQUESTS_CA_BUNDLE="/absolute/path/to/your/company-ca.crt"
  

• 永久生效的话，把上述命令添加到~/.bashrc、~/.zshrc或你的shell配置文件中，之后执行source ~/.bashrc重新加载配置即可。
• Windows系统：
  • 命令提示符：

    setx SSL_CERT_FILE "C:\path\to\your\company-ca.crt"
    setx REQUESTS_CA_BUNDLE "C:\path\to\your\company-ca.crt"
    

  • PowerShell：

    [Environment]::SetEnvironmentVariable("SSL_CERT_FILE", "C:\path\to\your\company-ca.crt", "User")
    [Environment]::SetEnvironmentVariable("REQUESTS_CA_BUNDLE", "C:\path\to\your\company-ca.crt", "User")
    

  设置完成后需要重启终端才能生效。

如果你想仅针对Terraform单独配置，可以修改用户目录下的Terraform配置文件：

• Linux/macOS：~/.terraformrc
• Windows：%APPDATA%\terraform.rc

在文件中添加以下内容（替换证书路径为你的实际路径）：

# 配置Terraform Registry的证书验证
provider_installation {
  network_mirror {
    url = "https://registry.terraform.io/"
    ca_cert_file = "/path/to/your/company-ca.crt"
  }
}

# 对Registry的所有请求生效的补充配置
credentials "registry.terraform.io" {
  ca_cert_file = "/path/to/your/company-ca.crt"
}

这个配置会让Terraform在拉取Provider镜像和访问Registry时强制使用指定的CA证书。

部分云服务或第三方Provider支持在Provider块中直接指定CA证书，比如使用HTTP Provider时可以这样配置：

provider "http" {
  ca_cert_file = "/path/to/your/company-ca.crt"
}

对于你已经配置过Azure CLI的场景，Terraform的Azure Provider会自动继承Azure CLI的证书配置，通常不需要额外设置。如果是其他云提供商（如AWS、GCP），可以查看对应Provider的官方文档，确认是否有ca_cert_file或类似参数支持单独配置。

完成配置后，运行terraform init测试，如果之前的SSL握手错误消失，说明配置成功。如果仍然有问题，可以开启Terraform的调试日志排查：

export TF_LOG=DEBUG
terraform init

查看日志中关于证书加载的输出，确认Terraform是否正确读取到了你指定的公司CA证书。

内容的提问来源于stack exchange，提问作者user11745482