为何AWS CLI命令在Cron任务中出现SSL证书验证失败错误？

这个问题的核心在于Cron执行环境和你手动操作的交互式shell环境存在差异——虽然错误提示指向证书验证失败，但本质不是证书本身有问题，而是Cron环境下找不到正确的证书文件或者相关依赖路径。下面是具体的排查和解决步骤：

• 检查并同步环境变量
  交互式shell的PATH通常包含了AWS CLI的完整路径以及系统证书相关的路径，但Cron的默认PATH非常精简（一般是/usr/bin:/bin）。首先在手动执行的shell里运行：

  which aws
  echo $PATH
  echo $SSL_CERT_FILE
  

  然后在Cron任务中明确设置这些环境变量，比如把Cron任务改成：

  PATH=/usr/local/bin:/usr/bin:/bin
  SSL_CERT_FILE=/etc/ssl/certs/ca-certificates.crt
  * * * * * aws --region us-east-1 elb describe-load-balancers --load-balancer-names myLoadBalancer --output text >> /tmp/aws_cron_log.txt 2>&1
  

  或者直接使用AWS CLI的绝对路径来执行命令，比如/usr/local/bin/aws ...。

• 指定CA证书路径给AWS CLI
  强制AWS CLI使用系统的CA证书存储，避免Cron环境找不到默认路径。修改命令为：

  aws --ca-bundle /etc/ssl/certs/ca-certificates.crt --region us-east-1 elb describe-load-balancers --load-balancer-names myLoadBalancer --output text
  

  注意：不同系统的CA证书路径可能不同，比如CentOS是/etc/pki/tls/certs/ca-bundle.crt，Ubuntu是/etc/ssl/certs/ca-certificates.crt，你可以根据自己的系统调整。

• 确认Cron的运行用户和HOME路径
  有时候Cron是用其他用户身份执行的（比如root），和你手动操作的用户不一致，导致找不到~/.aws下的配置文件，或者没有访问证书文件的权限。可以在Cron任务中先输出用户信息来验证：

  * * * * * whoami && echo $HOME && aws ...
  

  如果用户不一致，要么切换到正确的用户执行Cron（比如用su - user -c "command"），要么确保该用户有AWS CLI的配置和证书访问权限。

• 对比Cron和shell的环境差异
  写一个临时的Cron任务输出所有环境变量：

  * * * * * env > /tmp/cron_env.txt
  

  然后在手动shell里执行env > /tmp/shell_env.txt，对比两个文件的差异，重点关注和SSL、AWS相关的变量，比如PATH、HOME、SSL_CERT_FILE、AWS_CONFIG_FILE等，把缺失的变量补充到Cron任务中。

内容的提问来源于stack exchange，提问作者J. Tate