使用Ansible java_cert模块转.p12到JKS失败，手动执行正常求排查

根据部署要求，需将.p12文件转换为带密码保护的JKS类型tlsKeyStore文件，尝试用Ansible的community.general.java_cert模块实现，Playbook配置如下：

- name: Import P12 Cert to KeyStore
  community.general.java_cert:
    pkcs12_path: "{{ p12_file_path }}/{{inventory_hostname}}.p12" ## 2 hosts are there
    pkcs12_alias: test
    pkcs12_password: "{{ pwd }}"
    cert_alias: "[{{ item }}] cert_alias: {{ item }}"   ## add numbers for each alias
    keystore_path: "{{ path }}/tlsKeyStore"
    keystore_type: "JKS"
    keystore_pass: "{{ pwd }}"
    keystore_create: "{{ tls_key_trust_store }}"
  with_sequence: start=1 end="{{ groups[nxos] | length }}" ## this group has 2 hosts
  run_once: true
  args:
    executable: "{{ path }}/jre/bin/keytool"

执行时出现错误：

{"ansible_loop_var": "item", "changed": false, "item": "1", "msg": "Internal module failure, cannot extract public certificate from PKCS12, message: keytool error: java.io.IOException: parseAlgParameters failed: ObjectIdentifier() -- data isn't an object ID (tag = 48)\n", "rc": 1, "stderr": "Enter keystore password:  ", "stderr_lines": ["Enter keystore password:  "]}

核心错误信息：

data isn't an object ID (tag = 48)

手动执行以下keytool命令可成功完成转换：

keytool -importkeystore -srckeystore sw2-ndb.p12 -srcstoretype pkcs12 -destkeystore tlsKeyStore -deststoretype jks

问题分析与解决办法 #

你的Playbook存在几个关键问题：

• 模块选型错误：community.general.java_cert模块的设计目的是导入单个证书到密钥库，而非完成PKCS12到JKS的完整密钥库迁移。你手动使用的keytool -importkeystore是密钥库级别的转换操作，和该模块的定位不匹配，这是导致错误的核心原因。
• 循环与执行逻辑冲突：设置run_once: true后，with_sequence循环只会执行一次，且{{inventory_hostname}}会固定在执行Playbook的主机上，无法正确获取两台目标主机的P12文件。
• 别名格式不合理："[{{ item }}] cert_alias: {{ item }}"包含空格和特殊字符，可能被keytool判定为非法别名，增加不必要的风险。

正确实现方案 #

放弃使用java_cert模块，直接用command模块执行手动验证成功的keytool命令，同时修正执行逻辑：

- name: 转换PKCS12到JKS密钥库
  command: >
    {{ path }}/jre/bin/keytool -importkeystore
    -srckeystore "{{ p12_file_path }}/{{inventory_hostname}}.p12"
    -srcstoretype pkcs12
    -srcstorepass "{{ pwd }}"
    -destkeystore "{{ path }}/tlsKeyStore"
    -deststoretype jks
    -deststorepass "{{ pwd }}"
    -noprompt
  loop: "{{ groups['nxos'] }}"
  delegate_to: "{{ item }}"
  run_once: true

方案说明 #

1. 直接调用keytool -importkeystore命令，和手动操作逻辑完全一致，避免模块兼容性问题
2. 通过loop遍历目标主机组，用delegate_to在每台主机上处理自身的P12文件
3. 显式指定-srcstorepass和-deststorepass参数，避免交互式输入密码
4. 添加-noprompt参数自动确认导入，无需人工干预

内容的提问来源于stack exchange，提问作者pawan u