dotnet-docker镜像SSL证书问题分析与解决方案

问题背景

近期在使用dotnet-docker官方镜像时，部分用户报告了SSL证书验证失败的问题。具体表现为在基于Windows Server Core LTSC 2019的.NET SDK镜像中，执行dotnet restore命令时出现"Unable to load the service index for source"错误，提示SSL连接无法建立，原因是证书链验证失败(PartialChain)。

问题表现

受影响的主要是以下两个镜像版本：

• mcr.microsoft.com/dotnet/sdk:8.0.407-windowsservercore-ltsc2019
• mcr.microsoft.com/dotnet/sdk:9.0.201-windowsservercore-ltsc2019

用户在构建Docker镜像时，执行dotnet restore命令会收到类似如下的错误信息：

/src/dockerdotnet.csproj : error NU1301: Unable to load the service index for source https://api.nuget.org/v3/index.json.
/src/dockerdotnet.csproj : error NU1301: The SSL connection could not be established, see inner exception.
/src/dockerdotnet.csproj : error NU1301: The remote certificate is invalid because of errors in the certificate chain: PartialChain

根本原因分析

经过技术团队深入调查，发现问题根源在于基础Windows容器镜像中缺少必要的根证书。具体来说：

1. NuGet.org使用的SSL证书链最终根证书是DigiCert Global Root G3
2. 在3月11日发布的Windows Server Core LTSC 2019基础镜像更新中，DigiCert和AAA Certificate Services的根证书被移除
3. 由于缺少根证书，.NET运行时无法完整验证NuGet.org的证书链，导致SSL连接失败

临时解决方案

对于急需解决问题的用户，可以考虑以下几种临时解决方案：

1. 使用旧版本镜像：回退到已知可用的镜像版本

   • 8.0.406-windowsservercore-ltsc2019
   • 9.0.200-windowsservercore-ltsc2019

2. 手动添加根证书：在Dockerfile中添加步骤安装必要的根证书

3. 禁用证书验证(仅限测试环境)：在NuGet配置中添加disableTLSCertificateValidation属性

   <packageSources>
       <add key="nuget.org" value="https://api.nuget.org/v3/index.json" disableTLSCertificateValidation="true" />
   </packageSources>
   

   注意：生产环境不建议禁用证书验证，这会带来安全风险

长期解决方案

微软技术团队建议：

1. 检查基础Windows容器镜像(mcr.microsoft.com/windows/servercore:ltsc2019-amd64)中的证书存储
2. 确认DigiCert Global Root G3证书是否存在
3. 如果确认是基础镜像问题，应向Windows容器镜像团队反馈

诊断方法

对于遇到类似问题的用户，可以使用以下方法诊断证书问题：

1. 检查证书链：使用.NET代码输出完整的证书链信息
2. 验证根证书存在：检查LocalMachine证书存储中是否存在必要的根证书
3. 网络位置检查：确认网络配置不会影响证书吊销检查

结论

SSL证书验证失败问题通常与基础容器环境配置相关，而非.NET SDK本身的问题。建议用户：

• 生产环境坚持使用已验证可用的镜像版本
• 及时关注基础镜像更新公告
• 对于关键业务系统，建立完善的镜像验证流程

通过合理的容器镜像管理和证书配置，可以确保.NET应用在容器环境中稳定运行。