Algunas redes corporativas interceptan HTTPS (Zscaler y productos similares) y lo vuelven a firmar con una CA de la empresa. Esa CA es de confianza en la computadora portátil, pero no dentro de la imagen de desarrollo local generada, por lo que uv / npm fallan durante la compilando de la imagen con un error de confianza de TLS como UnknownIssuer.
Proporcione la CA de la empresa
Exporte la CA de interceptación raíz como PEM. Los intermediarios solo ayudan cuando la cadena está incompleta; el ancla de confianza es la raíz. Fuentes típicas:
el almacén de confianza de su sistema operativo (Keychain /
certmgr//etc/ssl/certs)una exportación que su equipo de TI ya documenta
Apunte la CLI a ese archivo:
agentengine dev up --ca-bundle /path/to/corp-root.pem
AGENTENGINE_CA_BUNDLE en el entorno del proceso es equivalente. Se ignora un valor en el espacio de trabajo .env, por lo que un repositorio clonado no puede instalar una CA.
La CLI valida el PEM (solo certificados, sin llave privada), realiza un registro de él por espacio de trabajo en ~/.agentengine/ca-bundles/ e inserta la copia autorizada en la imagen generada antes de las instalaciones del paquete, donde se fusiona en el paquete de confianza de Amazon Linux. La compilar nunca lee nada del espacio de trabajo grabable, por lo que los cambios en el repositorio o el contenedor entre ejecuciones no pueden alterar lo que es de confianza. Un .agentengine/ca-bundle.crt enviado por un repositorio nunca se lee; solo genera una advertencia.
La CA registrada también se aplica en el tiempo de ejecución, no solo en el tiempo de compilar: la imagen generada establece el paquete combinado como punto de destino para las variables de entorno de CA estándar (SSL_CERT_FILE, REQUESTS_CA_BUNDLE, CURL_CA_BUNDLE, NODE_EXTRA_CA_CERTS y la moda system-cert de uv), por lo que el llamar HTTPS del propio agente a través del proxy de interceptación también funciona. Esas variables, y su hermano selector de directorios SSL_CERT_DIR, son propiedad de la CLI para la pila local: sus valores en el espacio de trabajo .env no se pasan a los contenedores de desarrollo, por lo que un repositorio clonado no puede apuntar el TLS de los trabajadores a un certificado que envía. Si necesita otra CA (por ejemplo, la de un registro privado), agréguela al paquete que pasa a --ca-bundle.
Las ejecuciones posteriores de agentengine dev up reutilizan el registro en la misma máquina; una máquina o un checkout diferente no lo heredan; vuelva a pasar la bandera allí. --clear-ca-bundle remueve el registro y lo vuelve a generar sin la CA.
No edite manualmente .agentengine/Dockerfile.dev. El siguiente agentengine dev up lo regenera.
Lo que esto no cambia
Los desarrolladores que no proporcionen una CA obtendrán la misma imagen que antes compilada.
No existe el flag
--insecure. Un error de TLS sin una CA de confianza sigue informando de un problema de confianza.El almacén de confianza del SO utilizado por el binario
agentengineen sí (por ejemplo,AGENTENGINE_IMAGE_SOURCE=custom) es independiente; instale esa CA en el host como se documenta en custom-artifact-source.md.