Actions Runner Images Windows 2025 镜像中 AWS 工具安装失败问题分析

问题背景

在构建 Windows Server 2025 镜像时，执行 Install-AWSTools.ps1 脚本过程中出现了签名验证失败的问题。该脚本主要用于安装 AWS CLI 和 Session Manager 插件等 AWS 相关工具。

错误现象

脚本在执行过程中首先成功安装了 AWS CLI 2.23.14 版本，但在下载和验证 Session Manager 插件时遇到了签名验证失败的问题。具体错误信息显示："Signature thumbprint do not match expected."（签名指纹与预期不匹配）。

技术分析

1. 签名验证机制：Windows 系统对下载的可执行文件会进行数字签名验证，确保文件的完整性和来源可信。当文件的签名指纹与预设值不匹配时，系统会拒绝安装。

2. 可能原因：

   • AWS 更新了 Session Manager 插件的签名证书
   • 脚本中硬编码的预期签名指纹未及时更新
   • 下载过程中文件被篡改或损坏（虽然概率较低）

3. 影响范围：

   • 仅影响 Windows Server 2025 镜像构建
   • 主要影响 AWS 工具链的安装
   • 不影响已构建完成的镜像，仅影响构建过程

解决方案

开发团队已经通过更新签名验证逻辑解决了此问题。主要修改包括：

1. 更新了预期的签名指纹值
2. 改进了签名验证的错误处理机制
3. 确保与 AWS 官方发布的最新版本签名保持一致

最佳实践建议

1. 定期更新签名验证：对于依赖第三方签名验证的自动化脚本，建议建立定期检查机制。

2. 错误处理优化：在签名验证失败时，除了抛出错误外，还可以考虑：

   • 记录详细的验证失败信息
   • 提供回退机制或替代方案
   • 给出明确的错误解决指引

3. 版本兼容性测试：在镜像构建过程中，对新版本的操作系统要提前进行兼容性测试。

总结

数字签名验证是保障系统安全的重要机制，但在自动化构建过程中需要平衡安全性和可用性。通过及时更新验证逻辑和建立完善的错误处理机制，可以确保构建过程的稳定性和安全性。对于使用 Actions Runner Images 的用户，建议关注官方更新以确保使用最新版本的构建脚本。