在 NuGet 还原期间使用“无法获取本地颁发者证书”的自签名 SSL 证书时，Azure DevOps 服务器管道构建失败

Question

升级到 Azure DevOps Server 2019 后，自动管道构建在 NuGet 还原步骤失败，显示：

错误：错误：无法获得本地颁发者证书

无法恢复软件包

Microsoft 的文档指出，在 Windows 上运行的构建代理使用 Windows 证书存储，因此我检查了构建服务器上是否正确安装了所需的证书，但它仍然失败。

有许多问题具有相似的症状，但原因却不尽相同。经过调查，我找到了解决方案，但我没有在这个确切的问题上发现任何东西，所以我会发布一个答案，希望可以为其他人节省一些时间！

Answer 1

我使用带有以下脚本的 PowerShell 代理作业。这实际上为 Node.JS 管道提供了“使用 Windows 计算机证书存储”选项。

一些注意事项：

• NODE_EXTRA_CA_CERTS使用 ProcMon 监视 node.exe 表明每次运行管道时都会读取中引用的文件。然而，其他人建议Restart-Service vstsagent* -Force需要运行才能使更改生效。这不是我的经验，但也许环境之间的不同会导致这种行为。

• 这会额外增加约 1 秒的管道执行时间。对于“Windows 上管道中的节点的设置和忘记证书管理”来说，这可能是可以接受的价格，但仍然值得注意。

# If running in a pipeline then use the Agent Home directory,
# otherwise use the machine temp folder which is useful for testing
if ($env:AGENT_HOMEDIRECTORY -ne $null) { $TargetFolder = $env:AGENT_HOMEDIRECTORY }
else { $TargetFolder = [System.Environment]::GetEnvironmentVariable('TEMP','Machine') }

# Loop through each CA in the machine store
Get-ChildItem -Path Cert:\LocalMachine\CA | ForEach-Object {

    # Convert cert's bytes to Base64-encoded text and add begin/end markers
    $Cert = "-----BEGIN CERTIFICATE-----`n"
    $Cert+= $([System.Convert]::ToBase64String($_.export([System.Security.Cryptography.X509Certificates.X509ContentType]::Cert),'InsertLineBreaks'))
    $Cert+= "`n-----END CERTIFICATE-----`n"

    # Append cert to chain
    $Chain+= $Cert
}

# Build target path
$CertFile = "$TargetFolder\TrustedRootCAs.pem"

# Write to file system
$Chain | Out-File $CertFile -Force -Encoding ASCII

# Clean-up
$Chain = $null

# Let Node (running later in the pipeline) know from where to read certs
Write-Host "##vso[task.setvariable variable=NODE.EXTRA.CA.CERTS]$CertFile"

Answer 2

事实证明，Azure DevOps 构建代理使用的是不使用 Windows 证书存储的 Node.js 版本。

所需的解决方案是将 Node.js 指向自签名 SSL 证书的根 CA 证书的导出副本（*.cer 文件），使用名为 的系统环境变量NODE_EXTRA_CA_CERTS或使用名为 的任务变量NODE.EXTRA.CA.CERTS，其值指向证书。

开发者社区问题链接