Elasticsearch SSL配置报错：无法读取PKCS12密钥库（信任库）

先理清容易混淆的术语 #

• Keystore：存储服务自身的私钥和证书，用来向对方证明自己的身份（比如ES节点间通信、ES和Kibana通信时）。
• Truststore：存储你信任的CA证书，用来验证对方发来的证书是否合法。
• Passphrase/Password/Secure Password：本质都是密钥库/信任库的访问密码，只是不同场景叫法不同，不用纠结，只要保证输入的是生成证书时设置的密码即可。

核心问题分析 #

你遇到的xpack.security.transport.ssl加载失败，根源大概率是Transport层的SSL密码未正确配置，或者用了不适合Transport层的证书。

分步排查与修复 #

1. 先确认证书权限 #

确保Elasticsearch用户能读取证书文件：

chown -R elasticsearch:elasticsearch /etc/elasticsearch/es-new-cert
chmod -R 700 /etc/elasticsearch/es-new-cert

2. 补全Transport层的密码配置 #

你只添加了HTTP层的SSL密码，但Transport层（节点间通信）的密码也需要存入elasticsearch-keystore：

# 依次添加Transport层密钥库和信任库的密码
/usr/share/elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password
/usr/share/elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.truststore.secure_password

输入密码时，要和你生成http.p12时设置的密码一致（如果生成时复用了CA的密码，就输入CA的密码）。

3. 检查elasticsearch.yml的Transport配置 #

确保Transport层的SSL配置正确，示例如下：

xpack.security.enabled: true
# HTTP层配置
xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.keystore.path: es-new-cert/elasticsearch/http.p12
xpack.security.http.ssl.truststore.path: es-new-cert/elasticsearch/http.p12
# Transport层配置
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.keystore.path: es-new-cert/elasticsearch/http.p12
xpack.security.transport.ssl.truststore.path: es-new-cert/elasticsearch/http.p12
# 如果证书是自己CA签发的，验证模式设为certificate即可
xpack.security.transport.ssl.verification_mode: certificate

注意：路径是相对于/etc/elasticsearch（ES的配置目录）的相对路径，确保文件存在。

4. 确认证书是否支持Transport层 #

如果上面的步骤都做了还是报错，说明你生成的http.p12可能只支持HTTP层，不支持Transport层。重新生成证书：

# 基于已有的CA文件，生成同时支持HTTP和Transport的证书
/usr/share/elasticsearch/bin/elasticsearch-certutil http --ca /usr/share/elasticsearch/elastic-stack-ca.p12

执行时按提示操作：

• 输入CA的密码
• 设置新证书的密码（建议和CA密码一致，减少混淆）
• 当询问Do you want to generate certificates for other Elasticsearch nodes?时，选择y，并输入ES节点的主机名/IP
• 后续选项按需求选择即可

生成后将新的证书文件复制到/etc/elasticsearch/es-new-cert，重新设置权限，再重启ES。

内容的提问来源于stack exchange，提问作者Chris Stryczynski