java - 使用 Kubernetes Docker 的客户端证书调用端点时出现 SunCertPathBuilderException

Question

我们使用 clj-http 以及由带有自签名证书的 keystore.pfx 组成的 keystore :

(let [url (str url "api/fetch")
      opts {:keystore "keystore.pfx"
            :keystore-type "pkcs12"
            :keystore-pass "****"
            :body (json/encode {:method "yada"})
            :content-type :json
            :throw-entire-message? true
            :async? false}
      response (http/post url opts)]
  (-> response
      :body
      base64-decode))

使用 keystore 进行的 API 调用在本地运行，以使用客户端证书调用 API，但不能在 Kubernetes 上的 Docker 中运行。

异常(exception)是:

sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

有什么解决办法吗？我们需要以某种方式将它添加到 JVM 中吗？如果是这样，在哪里以及如何添加 pfx？

Answer 1

您的自签名客户端/服务器证书不共享信任链(这是错误消息告诉您的内容)。

将 CA 证书放入信任存储中，例如

keytool -importcert -noprompt -alias ca -file ca.crt -keystore truststore -storepass secret

并将信任存储添加到请求中:

  ; ...
  :trust-store "truststore"  ; XXX
  :trust-store-pass "secret" ; XXX
  :keystore "keystore.pfx"
  :keystore-pass "****"
  ; ...