curl - 使用 ec2-upload-bundle 时 Amazon EC2/S3“自签名证书”SSL 失败

Question

尝试将 AMI 捆绑包上传到 S3 时，是否有其他人看到此错误？

Error talking to S3: Curl.Error(60): SSL certificate problem: self signed certificate in certificate chain

昨天刚开始，周五还好好的。使用 PHP 工具包时报告了一些类似的问题 -

• AWS SDK for PHP 可以在不禁用 osx 上的 SSL 验证的情况下工作吗？
• https://forums.aws.amazon.com/thread.jspa?threadID=86186
• https://forums.aws.amazon.com/thread.jspa?threadID=69108

但我认为它们与我的问题并不完全相同。我没有在我的存储桶名称中使用点...

更多追溯：

Created image.part.174
Created image.part.175
Generating digests for each part...
Digests generated.
Unable to read instance meta-data for ramdisk-id
Unable to read instance meta-data for product-codes
Creating bundle manifest...
ec2-bundle-vol complete.
ERROR: Error talking to S3: Curl.Error(60): SSL certificate problem: self signed certificate in certificate chain

是否有某种环境变量可以用来（临时）在运行之前为 curl 切换 SSL 验证ec2-upload-bundle？

Answer 1

看起来您可能是ec2-upload-bundle从以前使用 打包的 AMI运行的ec2-bundle-vol，它在创建系统映像之前剥离了系统上的许多不同文件（以避免敏感信息进入映像）。来自AWS 文档：

默认情况下，捆绑过程会排除可能包含敏感信息的文件。这些文件包括*.sw, *.swo, *.swp, *.pem, *.priv ,*id_rsa* ,*id_dsa* `*.gpg, *.jks, */.ssh/authorized_keys, 和*/.bash_history. 要包含所有这些文件，请使用该--no-filter选项。要包含其中一些文件，请使用--include option.

在这种情况下，您系统上的根证书数据库似乎被搞砸了。在 Ubuntu（可能还有其他发行版）上，运行此命令会在系统上重新加载根证书，从而解决问题：

update-ca-certificates