如何让WildFly实例识别自定义CA根证书（非全局配置）

完全可以通过standalone.xml实现这个需求，步骤如下：

1. 创建实例专属的密钥库 #

别再用全局的cacerts，为目标独立实例单独创建密钥库文件，放在实例的configuration目录下方便管理：

• 初始化新密钥库（已有则跳过）：

  keytool -genkeypair -alias custom-ca-store -keyalg RSA -keysize 2048 -storetype JKS -keystore /path/to/your-wildfly-standalone/configuration/custom-truststore.jks -storepass your-store-password
  

• 将自定义CA根证书导入这个专属密钥库：

  keytool -importcert -alias my-custom-root-ca -file /path/to/your-custom-ca.crt -keystore /path/to/your-wildfly-standalone/configuration/custom-truststore.jks -storepass your-store-password
  

2. 修改standalone.xml配置 #

打开目标实例的standalone.xml，完成两处关键配置：

新增专属安全域 #

找到<security>节点下的<security-domains>，添加绑定专属密钥库的安全域：

<security-domain name="CustomCATrustDomain" cache-type="default">
    <jsse>
        <!-- 绑定刚才创建的信任库文件 -->
        <truststore path="custom-truststore.jks" relative-to="jboss.server.config.dir" keystore-password="your-store-password"/>
        <!-- 若需同时管理服务器证书，可添加keystore配置，仅需信任CA则保留truststore即可 -->
        <!-- <keystore path="custom-keystore.jks" relative-to="jboss.server.config.dir" keystore-password="your-store-password"/> -->
        <client-auth>want</client-auth>
        <protocol>TLSv1.2</protocol>
    </jsse>
</security-domain>

让业务组件引用该安全域 #

根据实际场景，让需要信任自定义CA的服务绑定这个安全域，比如常见的HTTPS连接器：
找到<subsystem xmlns="urn:jboss:domain:undertow:*">下的<server>节点，修改<https-listener>的security-domain属性：

<https-listener name="https" socket-binding="https" security-domain="CustomCATrustDomain"/>

如果是数据源、EJB客户端等其他服务，同样在对应配置项中指定这个安全域即可。

3. 使配置生效 #

重启目标WildFly独立实例，此时该实例只会信任你导入到专属密钥库的自定义CA证书，完全独立于全局cacerts配置，不会影响其他WildFly实例。

内容的提问来源于stack exchange，提问作者Net_Hans