本文旨在解决在使用Python v3与Splunk集成时，由于SSL证书验证失败而导致的数据拉取问题。我们将深入探讨如何将根证书和中间证书添加到受信任的证书存储中，从而解决`CERTIFICATE_VERIFY_FAILED`错误，并提供一种更为安全和可持续的解决方案，避免绕过证书检查。
在使用Python与Splunk集成，特别是从外部数据源拉取数据时，可能会遇到SSL证书验证失败的问题。错误信息通常类似于[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate in certificate chain (_ssl.c:1106)。 这表明Python无法验证服务器提供的SSL证书的有效性。 根本原因通常是缺少必要的根证书和中间证书。
理解证书链
SSL证书由证书颁发机构（CA）签发。 证书链通常包含：
- 服务器证书： 网站或服务的证书，用于标识其身份。
- 中间证书： 由根证书颁发机构签发的证书，用于签署服务器证书。 可能存在多个中间证书。
- 根证书： 证书链的根，由根证书颁发机构自己签署。
当Python尝试验证服务器证书时，它会尝试构建一个到受信任的根证书的证书链。 如果缺少任何中间证书，或者根证书不在受信任的存储中，验证将失败。
立即学习“Python免费学习笔记（深入）”；
解决证书验证问题
解决此问题的关键是将根证书和所有必要的中间证书添加到系统的受信任证书存储中。 以下步骤说明如何操作：
-
获取根证书和中间证书：
- 联系证书颁发机构（CA）或提供证书的团队，获取根证书和所有中间证书。 这些证书通常以.crt或.pem格式提供。
- 如果服务器使用了自签名证书，则需要获取该自签名证书。
-
添加到受信任的证书存储：
具体的操作方式取决于操作系统。
-
Linux (Debian/Ubuntu):
将证书文件复制到/usr/local/share/ca-certificates/目录，并使用update-ca-certificates命令更新证书存储。
sudo cp your_certificate.crt /usr/local/share/ca-certificates/ sudo update-ca-certificates
-
Linux (Red Hat/CentOS):
将证书文件复制到/etc/pki/ca-trust/source/anchors/目录，并使用update-ca-trust命令更新证书存储。
sudo cp your_certificate.crt /etc/pki/ca-trust/source/anchors/ sudo update-ca-trust
-
Windows:
双击证书文件，然后按照导入向导将其导入到“受信任的根证书颁发机构”存储中。
-
macOS:
使用“钥匙串访问”应用程序导入证书，并将其标记为“始终信任”。
-
-
Python代码配置 (如果需要):
在某些情况下，可能需要在Python代码中显式指定证书文件。 这可以通过requests库的verify参数来实现。
import requests url = "https://your_splunk_server/api/endpoint" cert_path = "/path/to/your/certificate.pem" # 包含根证书和中间证书的PEM文件 try: response = requests.get(url, verify=cert_path) response.raise_for_status() # 检查是否有HTTP错误 print(response.json()) except requests.exceptions.RequestException as e: print(f"请求失败: {e}")确保cert_path指向包含所有必要的证书（根证书和中间证书）的.pem文件。 可以将多个证书的内容合并到一个.pem文件中。
-
重启Splunk：
完成证书添加后，重启Splunk实例，以确保新的证书配置生效。
注意事项
-
证书格式： 确保证书格式正确。 通常，.pem格式是最常用的。 如果收到.crt格式的证书，可以使用openssl命令将其转换为.pem格式：
openssl x509 -in your_certificate.crt -out your_certificate.pem -outform PEM
证书链顺序： 在创建包含多个证书的.pem文件时，证书的顺序很重要。 通常，服务器证书应位于最前面，然后是中间证书，最后是根证书。
自签名证书： 如果服务器使用自签名证书，请谨慎操作。 将自签名证书添加到受信任的存储会降低安全性，因为它绕过了证书颁发机构的验证。 仅在受控的内部环境中这样做。
SSL解密： 如果您的网络中使用了SSL解密设备，请确保该设备已正确配置为信任外部服务器的证书。 否则，您可能会遇到类似的证书验证问题。
总结
解决Python与Splunk集成时遇到的证书验证问题，需要将根证书和中间证书添加到系统的受信任证书存储中。 遵循上述步骤，您可以建立一个安全且可信的连接，从而避免绕过证书检查带来的安全风险。 始终建议使用由受信任的证书颁发机构签发的证书，并在生产环境中避免使用自签名证书。 如果问题仍然存在，请检查网络配置，特别是SSL解密设备。
