Python HTTPS 在 Windows 上无法访问 Azure 服务管理 API

Question

我最近扩展了一个Python的API，用于Windows Azure存储API（叫做PyAzure），现在它也支持服务管理API。你可以在这里查看：https://github.com/bmb/pyazure.

我使用了一个叫HTTPSClientAuthHandler的东西，类似于在使用pyOpenSSL创建urllib自定义打开器中提到的那种。在Linux上，使用不同版本的Python 2.6和2.7时，这个方法运行得很好。但是在Windows上就不一样了。所有对Azure管理主机地址的请求都失败，出现了：

[Errno 10054] 远程主机强制关闭了一个已建立的连接

我认为这就是套接字错误码10054，意思是“连接被对方重置”。

这个问题似乎不是出在我的API代码上（除非我用的客户端证书认证方法有问题），而是更底层的东西。我可以不使用urllib2或httplib，单独设置一个SSL套接字，发送和urllib2一样的HTTP请求，来重现这个问题，比如列出有效的Azure数据中心位置：

>>> import socket, ssl, sys
>>> sys.version
'2.7.1 (r271:86832, Nov 27 2010, 17:19:03) [MSC v.1500 64 bit (AMD64)]'

>>> s = ssl.wrap_socket(socket.socket(), certfile='c:\\users\\blair\\research\\clouds\\azure\\BlairBethwaiteAzure1.pfx.pem')
>>> s.connect(('management.core.windows.net',443))
>>> s.send("GET /SUBSCRIPTION_ID/locations HTTP/1.1\r\nAccept-Encoding: identity\r\nX-Ms-Version: 2011-10-01\r\nHost: management.core.windows.net\r\nConnection: close\r\nUser-Agent: Python-urllib/2.6\r\n\r\n")
202

>>> s.read()
Traceback (most recent call last):
c:\Users\blair\research\clouds\azure\pyazure\<ipython-input-63-3306c981d8a7>
in <module>()
----> 1 s.read()

C:\Python27\lib\ssl.pyc in read(self, len)
   136
   137         try:
--> 138             return self._sslobj.read(len)
   139         except SSLError, x:
   140             if x.args[0] == SSL_ERROR_EOF and self.suppress_ragged_eofs:


error: [Errno 10054] An existing connection was forcibly closed by the remote host

在上面的代码中，把SUBSCRIPTION_ID替换成你的Azure订阅ID。异常大约在调用SSLSocket.read后45秒抛出。证书是一个格式正确的PEM文件，里面包含了私钥和证书，它是从pfx文件转换过来的（在Ubuntu 10.04上使用）：

openssl pkcs12 -in pfxfile -out pemfile -nodes

我觉得这可能不重要，但我也试过把PEM文件转换成dos格式，结果没有任何帮助。即使我不提供任何证书，行为也是一样的，但在Linux上这样做会得到服务器的正确API错误：

'HTTP/1.1 403 Forbidden\r\nContent-Length: 0\r\nServer: Microsoft-HTTPAPI/2.0\r\nDate: Thu, 01 Dec 2011 13:59:29 GMT\r\nConnection: close\r\n\r\n'

这个问题已经被另一个使用Windows 7的人独立验证过（和我一样）。这不是客户端防火墙的问题——同样的代码在同一主机上运行的NAT Linux虚拟机中是可以工作的。

我很困惑。非常希望这里的朋友们能提供一些帮助...

更新： 这似乎和Python底层的SSL实现有关。CPython 2.7.1有上面提到的错误行为，但我后来测试了ActiveState Python（2.7和2.6），结果成功了，例如：

>>> import sys, socket, ssl
>>> sys.version
'2.7.1 (r271:86832, Feb  7 2011, 11:30:38) [MSC v.1500 32 bit (Intel)]'
>>> s = ssl.wrap_socket(socket.socket(), certfile='\\\\VBOXSVR\\azure\\BlairBethwaiteAzure1.pfx.pem')
>>> s.connect(('management.core.windows.net',443))
>>> s.send('GET /SUBSCRIPTION_ID/locations HTTP/1.1\r\nAccept-Encoding: identity\r\nX-Ms-Version: 2011-10-01\r\nHost: management.core.windows.net\r\nUser-Agent: Python-urllib/2.6\r\n\r\n')
183

>>> s.read(4096)
'HTTP/1.1 200 OK\r\nContent-Length: 908\r\nContent-Type: application/xml; charset=utf-8\r\nServer: Microsoft-HTTPAPI/2.0\r\nx-ms-request-id: 08ca048cda6b445da6b3a8f3e4890197\r\nDate: Fri, 02 Dec 2011 03:02:14 GMT\r\n\r\n<Locations xmlns="http://schemas.microsoft.com/windowsazure" xmlns:i="http://www.w3.org/2001/XMLSchema-instance"><Location><Name>Anywhere US</Name><DisplayName>Anywhere US</DisplayName></Location><Location><Name>South Central US</Name><DisplayName>South Central US</DisplayName></Location><Location><Name>North Central US</Name><DisplayName>North Central US</DisplayName></Location><Location><Name>Anywhere Europe</Name><DisplayName>Anywhere Europe</DisplayName></Location><Location><Name>North Europe</Name><DisplayName>North Europe</DisplayName></Location><Location><Name>West Europe</Name><DisplayName>West Europe</DisplayName></Location><Location><Name>Anywhere Asia</Name><DisplayName>Anywhere Asia</DisplayName></Location><Location><Name>Southeast Asia</Name><DisplayName>Southeast Asia</DisplayName></Location><Location><Name>East Asia</Name><DisplayName>East Asia</DisplayName></Location></Locations>'

而且我的API也正常工作：

ActivePython 2.6.7.20 (ActiveState Software Inc.) based on
Python 2.6.7 (r267:88850, Jun 27 2011, 13:20:48) [MSC v.1500 64 bit (AMD64)] on
win32
Type "help", "copyright", "credits" or "license" for more information.
>>> from pyazure import pyazure
>>> pa = pyazure.PyAzure(subscription_id=SUBSCRIPTION_ID, management_cert_path='c:\\users\\blair\\research\\clouds\\azure\\BlairBethwaiteAzure1.pfx.pem')
>>> list(pa.wasm.list_locations())
['Anywhere US', 'South Central US', 'North Central US', 'Anywhere Europe', 'North Europe', 'West Europe', 'Anywhere Asia', 'Southeast Asia', 'East Asia']

CPython 2.7和ActivePython 2.7中的Lib\ssl.py文件是一样的，所以我猜这可能是底层C库的某种差异，或者是CPython中的一个bug。有没有高手能帮忙？

windows https ssl azure api development pem file socket error client certificate authentication

Python HTTPS 在 Windows 上无法访问 Azure 服务管理 API

3 个回答

撰写回答