Google Cloud DLP Python：为 gRPC 设置可信根证书
在启动前设置 GRPC_DEFAULT_SSL_ROOTS_FILE_PATH，走默认的根证书选择路径，且不受 Requests 令牌流量影响。
GRPC_DEFAULT_SSL_ROOTS_FILE_PATH=/path/to/approved-roots.pem \
https_proxy=http://proxy.example:8080 \
python dlp_job.py使用包含 gRPC 端点所需根证书集合的 PEM 文件，其中既有组织自有根证书，也有公共根证书。若针对公开 DLP 端点做非敏感测试且允许使用公共代理，可以从 HTTP 代理列表 中挑选 https_proxy 候选；同时保留已批准的根证书和应用的身份配置。不要假设默认根证书文件会自动追加到每个平台证书库。
当 DlpServiceClient 使用 gRPC 传输的默认根证书时，这条路径才适用。如果某个通道显式提供了根证书，应改为检查该通道的凭据。Requests 的 CA 设置可以修复 HTTP 调用，但不会改变这个 gRPC 信任来源。
把失败的环节和已选定的根证书分开判断。代理不可用或 CONNECT 被拒绝都发生在后续的目的地证书校验之前，加 CA 并不能解决。
获取凭据令牌可能走另一个 HTTP 客户端。当该路径需要同一信任来源时，要为它配置其支持的 CA，并保证两条连接都保留校验。