IBM Liberty连接PostgreSQL时SSL证书加载失败问题求助

问题核心 #

异常提示Loading the SSL certificate /opt/IBM/wlp/common/cdb_keystore.pem into a KeyManager failed，说明PostgreSQL JDBC驱动无法在IBM JSSE环境下正确加载指定的PEM格式客户端证书，结合你的环境（PostgreSQL JDBC 9.4.1212 + IBM Liberty），可按以下步骤排查解决：

排查与解决方案 #

1. 检查证书文件的有效性与权限 #

• 验证证书链完整性：cdb_keystore.pem必须包含完整的客户端证书链（从你的客户端证书到根CA证书的所有层级），不能仅包含单个客户端证书。可以用openssl x509 -in cdb_keystore.pem -text查看证书内容，确认是否有多个证书块。
• 修复文件权限：确保IBM Liberty的运行用户对证书目录和文件有读权限：

  chmod 755 /opt/IBM/wlp/common/
  chmod 644 /opt/IBM/wlp/common/cdb_keystore.pem /opt/IBM/wlp/common/cdb.key /opt/IBM/wlp/common/cdb_truststore.pem
  

• 移除私钥密码：PostgreSQL 9.4 JDBC驱动不支持带密码的私钥，若cdb.key有密码，执行以下命令生成无密码版本：

  openssl rsa -in /opt/IBM/wlp/common/cdb.key -out /opt/IBM/wlp/common/cdb_nopass.key
  

  然后修改server.xml里的sslKey路径为/opt/IBM/wlp/common/cdb_nopass.key。

2. 转换PEM证书为Java密钥库格式 #

PostgreSQL 9.4 JDBC驱动对PEM格式的客户端证书在IBM JSSE环境下兼容性较差，建议转换为PKCS12格式（Java原生支持）：

• 生成PKCS12密钥库：

  openssl pkcs12 -export -in /opt/IBM/wlp/common/cdb_keystore.pem -inkey /opt/IBM/wlp/common/cdb_nopass.key -out /opt/IBM/wlp/common/client.p12 -name postgres-client
  

  执行时设置一个密钥库密码（例如changeit）。
• 修改server.xml数据源配置：
  替换原有的sslCert和sslKey参数，改用密钥库配置：

  <dataSource id="engagementdesigner_workflow" jndiName="jdbc/workflowdb" jdbcDriverRef="postgresLib" transactional="false">
      <connectionManager agedTimeout="60000" connectionTimeout="5" maxPoolSize="102" minPoolSize="1"/>
      <properties.postgresql 
        databaseName="engagementdesigner_workflow" 
        serverName="VirtualHaDbMaster" 
        portNumber="5433" 
        password="xxxxxx" 
        ssl="true" 
        sslMode="verify-ca" 
        sslRootCert="/opt/IBM/wlp/common/cdb_truststore.pem" 
        user="engagementdesigner"
        sslKeyStore="/opt/IBM/wlp/common/client.p12"
        sslKeyStorePassword="changeit"
        sslKeyStoreType="PKCS12"
      />
  </dataSource>
  

  对engagementdesigner_quartz数据源做同样修改。

3. 升级PostgreSQL JDBC驱动 #

9.4.1212版本的JDBC驱动发布于2016年，存在较多SSL相关的兼容性问题，建议升级到42.2.x系列版本（该版本兼容PostgreSQL 9.4服务器）。升级后：

• 若使用PEM证书，新版本对PEM格式的支持更完善；
• 若使用PKCS12密钥库，配置方式与上述一致。

4. 验证PostgreSQL服务器端SSL配置 #

• 确认pg_hba.conf中对应客户端的连接规则为hostssl且要求证书验证：

  hostssl engagementdesigner_workflow engagementdesigner <你的客户端IP段> cert
  hostssl engagementdesigner_quartz engagementdesigner <你的客户端IP段> cert
  

• 确认postgresql.conf中：

  ssl = on
  ssl_ca_file = '/path/to/your/cdb_truststore.pem'  # 与客户端使用的根CA一致
  

  修改后重启PostgreSQL服务。

内容的提问来源于stack exchange，提问作者Snehal Kale