Windowsのpipで使用されるCAストアにカスタムCAルート証明書を追加するにはどうすればよいですか？

Question 1

python.orgからPython3をインストールしましたが、でパッケージをインストールするのに問題がありますpip。設計上、ここのネットワークには、すべてのssl接続を独自の証明書で再署名することによってすべてのパケット（sslを含む）を検査するman-in-the-middleパケット検査アプライアンスがあります。GPOの一部は、カスタムルート証明書をWindowsキーストアにプッシュします。

Javaを使用しているときに、外部のhttpsサイトにアクセスする必要がある場合は、JVMのcacertsを手動で更新して、自己署名CA証明書を信頼する必要があります。

Pythonでそれを達成するにはどうすればよいですか？今、を使用してパッケージをインストールしようとするとpip、当然のことながら、すばらしい[SSL: CERTIFICATE_VERIFY_FAILED]エラーが発生します。

--trusted-hostパラメータを使用してそれらを無視できることはわかっていますが、インストールしようとしているすべてのパッケージに対してそれを実行したくありません。

Pythonが使用するCA証明書ストアを更新する方法はありますか？

Question 2

自己署名認証局`pip`/`conda`

Gitに関する同様の問題を詳細に文書化した後（gitに自己署名証明書を受け入れさせるにはどうすればよいですか？）、ここでも、信頼できるMitM「攻撃」を提供するプロキシを備えた企業ファイアウォールの背後にあります。

すべてのSSL検証を無効にしないでください。

これは悪いセキュリティ文化を生み出します。その人にならないでください。

tl; dr

pip config set global.cert path/to/ca-bundle.crt
pip config list
conda config --set ssl_verify path/to/ca-bundle.crt
conda config --show ssl_verify

# Bonus while we are here...
git config --global http.sslVerify true
git config --global http.sslCAInfo path/to/ca-bundle.crt

しかし、どこで入手できca-bundle.crtますか？

自己署名証明書の取得

以下は、自己署名証明書を取得する方法に関するいくつかのオプションです。

OpenSSLCLI経由
ブラウザ経由
Pythonスクリプティング経由

OpenSSLCLIで自己署名証明書を取得する

/unix/451207/how-to-trust-self-signed-certificate-in-curl-command-line/468360#468360

echo quit | openssl s_client -showcerts -servername "curl.haxx.se" -connect curl.haxx.se:443 > cacert.pem

ブラウザを介して自己署名認証局を取得する

CAの取得：https：//stackoverflow.com/a/50486128/622276
- http://blog.majcica.com/2016/12/27/installing-self-signed-certificates-into-git-cert-store/

この回答とリンクされたブログのおかげで、証明書を表示し、base64PEMエンコーディングオプションを使用してファイルにコピーする方法（Windowsの場合）が示されています。

このエクスポートされたファイルの内容をコピーして、ファイルの最後に貼り付けcacerts.pemます。

一貫性を保つため、このファイルの名前を変更cacerts.pem- >ca-bundle.crtと同様に簡単にどこかにそれを配置します。

# Windows
%USERPROFILE%\certs\ca-bundle.crt

# or *nix
$HOME/certs/cabundle.crt

Python経由で自己署名認証局を取得する

のすべての素晴らしい答えに感謝します：

Pythonのリクエストから応答SSL証明書を取得するにはどうすればよいですか？

私はそれをさらに一歩進めることを試みるために以下をまとめました。

https://github.com/neozenith/get-ca-py

最終的に

このCAストアが追加の自己署名CAとともにどこにあるかがわかるように、pipとcondaで構成を設定します。

pip config set global.cert %USERPROFILE%\certs\ca-bundle.crt
conda config --set ssl_verify %USERPROFILE%\certs\ca-bundle.crt

または

pip config set global.cert $HOME/certs/ca-bundle.crt
conda config --set ssl_verify $HOME/certs/ca-bundle.crt

その後

pip config list
conda config --show ssl_verify

# Hot tip: use -v to show where your pip config file is...
pip config list -v
# Example output for macOS and homebrew installed python
For variant 'global', will try loading '/Library/Application Support/pip/pip.conf'
For variant 'user', will try loading '/Users/jpeak/.pip/pip.conf'
For variant 'user', will try loading '/Users/jpeak/.config/pip/pip.conf'
For variant 'site', will try loading '/usr/local/Cellar/python/3.7.4/Frameworks/Python.framework/Versions/3.7/pip.conf'

参考文献

Pip SSL： https //pip.pypa.io/en/stable/user_guide/#configuration
Conda SSL：https：//stackoverflow.com/a/35804869/622276
CAの取得：https：//stackoverflow.com/a/50486128/622276
- http://blog.majcica.com/2016/12/27/installing-self-signed-certificates-into-git-cert-store/
Pythonを使用してピアCAを自動的に取得する：Pythonのリクエストから応答SSL証明書を取得するにはどうすればよいですか？

Question 3

実行：python -c "import ssl; print(ssl.get_default_verify_paths())"証明書の検証に使用される現在のパスを確認します。それらの1つに会社のルート証明書を追加します。

パスopenssl_capath_envは環境変数を指します：SSL_CERT_DIR。

SSL_CERT_DIR存在しない場合は、それを作成し、ファイルシステム内の有効なフォルダーを指す必要があります。次に、証明書をこのフォルダーに追加して使用できます。

Question 4

最善の答えではありません--certがpip、たとえば次のオプションを使用して、作成済みのCAバンドルを再利用できます。

pip install SQLAlchemy==1.1.15 --cert="C:\Users\myUser\certificates\my_ca-bundle.crt"

Question 5

Windowsでは、％APPDATA％\ pip \にpip.iniファイルを作成して解決しました。

例：C：\ Users \ asmith \ AppData \ Roaming \ pip \ pip.ini

pip.iniに、証明書へのパスを入力します。

[global]
cert=C:\Users\asmith\SSL\teco-ca.crt

https://pip.pypa.io/en/stable/user_guide/#configurationには、構成ファイルに関する詳細情報があります。

Question 6

Windowsでの代替ソリューションは、PythonがWindows証明書ストアを使用できるようにするpython-certifi-win32をインストールすることです。

pip install python-certifi-win32

Question 7

nt86のソリューションは、基盤となるWindowsインフラストラクチャ（証明書ストア）を活用しているため、最も適切だと思います。ただし、pipは機能しないため、最初にpython-certifi-win32をインストールする方法については説明していません。

秘訣は、を使用--trustedhostしてpython-certifi-win32をインストールすることです。その後、pipは自動的にWindows証明書ストアを使用して、プロキシが使用する証明書をロードします。

つまり、一言で言えば、次のことを行う必要があります。

pip install python-certifi-win32 -trustedhost pypi.org

その後、あなたは行ってもいいはずです

Question 8

AnacondaNavigatorを開きます。

File \ Preferencesに移動します。

SSL検証を有効にする無効にする（非推奨）

またはSSL証明書パスを有効にして指定します（オプション）

パッケージを特定のバージョンに更新します。

[右上にインストール]を選択します

パッケージを選択し、チェックマークをクリックします

更新用にマーク

特定のバージョンのインストール用にマーク

[適用]をクリックします