Algumas redes corporativas interceptam HTTPS (Zscaler e produtos similares) e o assinam novamente com uma CA da empresa. Essa CA é confiável no laptop, mas não dentro da imagem de desenvolvimento local gerada, portanto, uv / npm falham durante o criar da imagem com um erro de confiança TLS, como UnknownIssuer.
Forneça a CA da empresa
Exporte a CA de interceptação raiz como PEM. Os intermediários só ajudam quando a cadeia está incompleta; a âncora de confiança é a raiz. Fontes típicas:
seu armazenar de confiança do SO (Keychain /
certmgr//etc/ssl/certs)uma exportação que sua equipe de TI já documenta
Aponte a CLI para esse arquivo:
agentengine dev up --ca-bundle /path/to/corp-root.pem
AGENTENGINE_CA_BUNDLE no ambiente do processo é equivalente. Um valor no workspace .env é ignorado, portanto, um repositório clonado não pode instalar uma CA.
A CLI valida o PEM (apenas certificados, sem chave privada), faz o registro por workspace em ~/.agentengine/ca-bundles/ e incorpora a cópia autorizada na imagem gerada antes das instalações do pacote, onde é mesclado no pacote de confiança do Amazon Linux. O criar nunca lê nada do workspace gravável, portanto, as alterações no repositório ou no contêiner entre as vezes em que se executa não podem alterar o que é confiável. Um .agentengine/ca-bundle.crt enviado por um repositório nunca é lido; ele apenas gera um aviso.
A CA registrada também se aplica em tempo de execução, não apenas em tempo de criar: a imagem gerada usa o pacote mesclado como ponto para as variáveis de ambiente padrão da CA (SSL_CERT_FILE, REQUESTS_CA_BUNDLE, CURL_CA_BUNDLE, NODE_EXTRA_CA_CERTS e o modo system-cert do uv), para que o próprio agente também possa chamar HTTPS por meio do proxy de interceptação. Essas variáveis — e seu irmão seletor de diretório SSL_CERT_DIR — são de propriedade da CLI para a pilha local: os valores para elas no espaço de trabalho .env não são passados para os contêineres de desenvolvimento, portanto, um repositório clonado não pode apontar o TLS dos trabalhadores para um certificado que ele envia. Se você precisar de outra CA (por exemplo, a de um registro privado), adicione-a ao pacote que você passa para --ca-bundle.
Executares posteriores de agentengine dev up reutilizam o registro na mesma máquina; uma máquina ou checkout diferente não o herda — passe o sinalizador novamente lá. --clear-ca-bundle remove o registro e o regenera sem a CA.
Não edite manualmente .agentengine/Dockerfile.dev. O próximo agentengine dev up o regenera.
O que isso não altera
Os desenvolvedores que não fornecem uma CA obtêm o mesmo criar de imagem de antes.
Não existe uma flag
--insecure. Uma falha de TLS sem uma CA confiável ainda relata um problema de confiança.O armazenar de confiança do SO usado pelo próprio binário
agentengine(por exemplo,AGENTENGINE_IMAGE_SOURCE=custom) é separado; instale essa CA no hospedar conforme documentado em custom-artifact-source.md.