NuGet-Warnung NU3028

NuGet 4.6.0+

The author primary signature's timestamp found a chain building issue: The revocation function was unable to check revocation because the revocation server could not be reached. For more information, visit https://aka.ms/certificateRevocationMode

Abgang

Fehler beim Erstellen der Zertifikatskette für die Zeitstempelsignatur. Das Zeitstempel-Signaturzertifikat ist nicht vertrauenswürdig, widerrufen oder die Sperrinformationen für das Zertifikat sind nicht verfügbar.

Nur unter Windows kann NU3028 auftreten, wenn ein Stammzertifikat zum ersten Mal beobachtet wird und mit der Meldung „Eine Zertifizierungskette wurde ordnungsgemäß verarbeitet, aber in einem Stammzertifikat beendet, das nicht vom Vertrauensanbieter vertrauenswürdig ist.“ Wenn das Issue mit Wiederholungsversuchen behoben ist, gibt es eine Option, die ihnen helfen kann.

Lösung

Verwenden Sie ein vertrauenswürdiges und gültiges Zertifikat. Überprüfen Sie die Internetkonnektivität.

Informationen zu Linux und macOS finden Sie unter Überprüfung des signierten NuGet-Pakets. Speziell für Warnungen/Fehler bei nicht vertrauenswürdigen Stammzertifikaten unter Linux und macOS siehe auch NU3042.

Sperrüberprüfungsmodus

Hinweis

Diese Option ist ab NuGet 4.8.1 verfügbar.

Wenn der Computer eingeschränkten Internetzugriff hat (wie etwa ein Buildcomputer in einem CI/CD-Szenario), wird beim Installieren/Wiederherstellen von signierten NuGet-Paketen diese Warnung angezeigt, da die Sperrserver nicht erreichbar sind. Dies entspricht dem erwarteten Verhalten. In manchen Fällen kann dies jedoch unbeabsichtigte Konsequenzen haben, etwa die, dass das Installieren/Wiederherstellen von Paketen länger als gewöhnlich dauert. Wenn das passiert, können Sie das Problem umgehen, indem Sie die NUGET_CERT_REVOCATION_MODE-Umgebungsvariable auf offline setzen. Dadurch wird NuGet gezwungen, den Sperrstatus der Zertifikate nur anhand der zwischengespeicherten Zertifikatsperrliste zu überprüfen, und NuGet versucht dann nicht, Sperrserver zu erreichen.

Warnung

Es empfiehlt sich nicht, den Sperrprüfmodus unter normalen Umständen auf Offline einzustellen. Das würde dazu führen, dass NuGet eine Onlinesperrprüfung auslässt und nur eine Offlinesperrprüfung anhand der zwischengespeicherten Zertifikatsperrliste durchführt, die möglicherweise veraltet ist. Das bedeutet, dass Pakete, deren Signaturzertifikat gesperrt wurde, dann trotzdem installiert/wiederhergestellt werden. Im Normalfall hätten die Pakete die Sperrprüfung nicht bestanden und wären nicht installiert worden.

Wenn der Sperrprüfmodus auf offline eingestellt ist, wird die Warnung auf eine Informationsstufe heruntergestuft.

The author primary signature's timestamp found a chain building issue: The revocation function was unable to check revocation because the certificate is not available in the cached certificate revocation list and NUGET_CERT_REVOCATION_MODE environment variable has been set to offline. For more information, visit https://aka.ms/certificateRevocationMode.

Hinweis

NU3028 wird in den meisten Fällen als Fehler ausgelöst. Wenn der Signaturvalidierungsmodus von NuGet auf Akzeptieren (Standardeinstellung) festgelegt ist, wird in einigen Fällen NU3028 als Warnung ausgelöst.