在 NuGet 还原期间使用自签名 SSL 证书并显示“无法获取本地颁发者证书”时，Azure 开发运营服务器管道生成失败

Question

升级到Azure DevOps Server 2019后，自动管道构建在NuGet恢复步骤失败，显示：

错误：错误：无法获取本地颁发者证书

包无法恢复

Microsoft的留档声明在Windows上运行的构建代理使用Windows证书存储，因此我检查了所需的证书是否正确安装在构建服务器上，但它仍然失败。

有许多症状相似但原因不同的问题。经过调查，我已经找到了解决办法，但我在这个问题上没有发现任何东西，所以我会发布一个答案，希望能为其他人节省一些时间！

Answer 1

我从@alifen格式化了PowerShell脚本。下面的脚本可以在构建代理本身上执行。它接受目标路径的参数并在服务器上设置环境变量。

信用@alifen

[CmdletBinding()]
param (
    [Parameter()]
    [string]
    $TargetFolder = "$env:SystemDrive\Certs"
)
If (-not(Test-Path $TargetFolder))
{
    $null = New-Item -ItemType Directory -Path $TargetFolder -Force
}
# Loop through each CA in the machine store
Get-ChildItem -Path Cert:\LocalMachine\CA | ForEach-Object {

    # Convert cert's bytes to Base64-encoded text and add begin/end markers
    $Cert = "-----BEGIN CERTIFICATE-----`n"
    $Cert += $([System.Convert]::ToBase64String($_.export([System.Security.Cryptography.X509Certificates.X509ContentType]::Cert), 'InsertLineBreaks'))
    $Cert += "`n-----END CERTIFICATE-----`n"

    # Append cert to chain
    $Chain += $Cert
}

# Build target path
$CertFile = "$TargetFolder\TrustedRootCAs.pem"

# Write to file system
Write-Host "[$($MyInvocation.MyCommand.Name)]: Exporting certs to: [$CertFile]"
$Chain | Out-File $CertFile -Force -Encoding ASCII

# Set Environment variable
Write-Host "[$($MyInvocation.MyCommand.Name)]: Setting environment variable [NODE_EXTRA_CA_CERTS] to [$CertFile]"
[Environment]::SetEnvironmentVariable("NODE_EXTRA_CA_CERTS", "$CertFile", "Machine")

Answer 2

事实证明，Azure运营模式生成代理正在使用不使用Windows证书存储的Node.js版本。

所需的解决方案是将Node.js指向导出的副本(*。cer文件)，使用名为< code>NODE_EXTRA_CA_CERTS的系统环境变量或名为< code>NODE的任务变量。EXTRA.CA.CERTS，其值指向证书。

开发者社区问题链接

Answer 3

我将PowerShell代理作业与以下脚本一起使用。这有效地为节点提供了“使用Windows计算机证书存储”选项。管道JS。

一些注意事项:

>

监控节点。exe with ProcMon建议每次运行管道时读取NODE_EXTRA_CA_CERTS中引用的文件。然而，其他人建议运行Restart Service vstsagent*-需要强制才能执行更改。这不是我的经验，但可能是环境不同导致了这种行为。

这增加了大约1秒的流水线执行时间。对于“为Windows上管道中的节点设置并忘记证书管理”来说，这可能是一个可接受的价格，但仍然值得注意。

# If running in a pipeline then use the Agent Home directory,
# otherwise use the machine temp folder which is useful for testing
if ($env:AGENT_HOMEDIRECTORY -ne $null) { $TargetFolder = $env:AGENT_HOMEDIRECTORY }
else { $TargetFolder = [System.Environment]::GetEnvironmentVariable('TEMP','Machine') }

# Loop through each CA in the machine store
Get-ChildItem -Path Cert:\LocalMachine\CA | ForEach-Object {

    # Convert cert's bytes to Base64-encoded text and add begin/end markers
    $Cert = "-----BEGIN CERTIFICATE-----`n"
    $Cert+= $([System.Convert]::ToBase64String($_.export([System.Security.Cryptography.X509Certificates.X509ContentType]::Cert),'InsertLineBreaks'))
    $Cert+= "`n-----END CERTIFICATE-----`n"

    # Append cert to chain
    $Chain+= $Cert
}

# Build target path
$CertFile = "$TargetFolder\TrustedRootCAs.pem"

# Write to file system
$Chain | Out-File $CertFile -Force -Encoding ASCII

# Clean-up
$Chain = $null

# Let Node (running later in the pipeline) know from where to read certs
Write-Host "##vso[task.setvariable variable=NODE.EXTRA.CA.CERTS]$CertFile"