IBM MQ Docker环境单向SSL最小化配置失败排查求助

以下是你操作中的几个关键错误点：

1. 队列管理器证书标签不符合命名规则 #

队列管理器的身份证书标签必须遵循固定格式：ibmwebspheremq<队列管理器名称小写>。你的队列管理器是QM1，因此正确的证书标签应该是ibmwebspheremqqm1，但你创建证书时用的是ibmwebspheremqqm，这会导致队列管理器无法找到匹配的证书，从而TLS握手失败。

2. Docker环境下密钥库文件的权限与路径问题 #

• 你生成的key.kdb、key.sth（stash文件）、key.rdb必须完整复制到Docker容器内的/var/mqm/qmgrs/QM1/ssl目录下，且文件所有者和组必须设置为mqm:mqm。如果文件缺失或权限不正确，队列管理器无法读取密钥库。
• 确认SSLKEYR参数的路径是否正确：该参数指定的是密钥库的基名（不带.kdb后缀），你设置的'/var/mqm/qmgrs/QM1/ssl/key'是正确的前提是密钥库文件名为key.kdb，且确实存在于该目录。

3. 客户端连接参数缺失 #

配置单向TLS时，客户端必须指定信任库信息才能验证服务器证书。你生成了clientkey.jks信任库，但客户端连接时需要设置以下JVM参数（以Java客户端为例）：

-Djavax.net.ssl.trustStore=clientkey.jks
-Djavax.net.ssl.trustStorePassword=changeit

如果未指定这些参数，客户端会使用默认信任库，而默认信任库中没有你的自签名证书，导致连接失败。

4. 可选验证：通道SSL cipher套件匹配 #

虽然你设置了SSLCIPH(ANY_TLS12_OR_HIGHER)，但需要确保客户端使用的cipher套件属于该范围。如果客户端指定了更严格的套件，可能会出现协商失败。可以尝试指定具体的套件（如TLS_RSA_WITH_AES_256_CBC_SHA256）来排查问题。

内容的提问来源于stack exchange，提问作者user10820864