https://s3.zoneame.amazonaws.com/ [SSL: CERTIFICATE_VERIFY_FAILED] 证书验证失败 (_ssl.c:749) 的 SSL 验证失败

Question

当我运行命令时，aws s3 ls我收到此错误：

SSL validation failed for https://s3.zonename.amazonaws.com/ [SSL: CERTIFICATE_
VERIFY_FAILED] certificate verify failed (_ssl.c:749)

它工作得很好 --no-verify-ssl

我怎样才能让它与 ssl 验证一起工作？

aws s3 ls --debug 

日志如下：

Traceback (most recent call last):
File "C:\Program Files\Amazon\AWSCLI\runtime\lib\site-packages\urllib3\connect
ionpool.py", line 594, in urlopen
self._prepare_proxy(conn)
File "C:\Program Files\Amazon\AWSCLI\runtime\lib\site-packages\urllib3\connect
ionpool.py", line 805, in _prepare_proxy
conn.connect()
File "C:\Program Files\Amazon\AWSCLI\runtime\lib\site-packages\urllib3\connect
ion.py", line 344, in connect
ssl_context=context)
File "C:\Program Files\Amazon\AWSCLI\runtime\lib\site-packages\urllib3\util\ss
l_.py", line 344, in ssl_wrap_socket
return context.wrap_socket(sock, server_hostname=server_hostname)
File "ssl.py", line 401, in wrap_socket
File "ssl.py", line 808, in __init__
File "ssl.py", line 1061, in do_handshake
File "ssl.py", line 683, in do_handshake
ssl.SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c
:749)

Answer 1

这里的问题不在于使用代理本身（AWS CLI 通过设置例如HTTPS_PROXY环境变量来允许这样做），而是 AWS CLI 客户端不信任代理的证书。代理的证书可能是自签名的，您的公司设置为 CA（证书颁发机构）。AWS CLI 客户端在本地系统的 CA 注册表中找不到您公司的 CA 根证书，因此无法验证代理的证书并发出错误CERTIFICATE_VERIFY_FAILED。

要解决此问题，我们可以通过--ca-bundle命令参数（或通过环境变量或配置文件）将公司的根证书（例如company-root-ca.pem）传递给 AWS CLI 客户端：AWS_CA_BUNDLE

$ export HTTPS_PROXY=<host>:<port>
$ aws s3 ls --ca-bundle /path/to/company-root-ca.pem