如何修复WSO2 APIM apictl中的x509证书验证失败错误

问题说明 #

创建dev环境并通过命令 apictl env dev --apim https://<ip address>:9443 连接WSO2 APIM时，出现以下错误：

Error in connecting Reason: Post "https:///client-registration/v0.17/register": tls: failed to verify certificate: x509: cannot validate certificate for because it doesn't contain any IP SANs

已将WSO2 APIM的PEM证书放入../.wso2apictl/certs目录，但问题未解决。

核心原因 #

SSL证书验证失败的根本原因是WSO2 APIM使用的证书未将访问时用的IP地址配置为SAN（Subject Alternative Name），即使将证书放入指定目录，证书本身的缺失项仍会导致验证不通过。

修复步骤 #

1. 确认证书放置路径正确性 #

apictl的默认证书目录为：

• Linux/macOS：~/.wso2apictl/certs
• Windows：C:\Users\<你的用户名>\.wso2apictl\certs

检查你使用的../.wso2apictl/certs相对路径是否对应上述绝对路径，若路径错误，将PEM证书移动到正确的目录下。

2. 给证书添加IP SAN（彻底解决） #

重新生成包含目标IP的SSL证书，替换WSO2 APIM原有证书：

1. 进入WSO2 APIM安装目录下的repository/resources/security文件夹
2. 修改对应系统的openssl配置文件：
   • Linux/macOS：编辑openssl.cnf，在[v3_req]或[v3_ca]段添加：

     subjectAltName = IP:<你的APIM服务器IP>
     

   • Windows：编辑openssl_win.cnf，添加相同配置
3. 执行openssl命令生成新证书：
   • 生成私钥：openssl genrsa -out server.key 2048
   • 生成证书签名请求：openssl req -new -key server.key -out server.csr -config openssl.cnf
   • 自签名证书：openssl x509 -req -days 3650 -in server.csr -signkey server.key -out server.crt -extensions v3_req -extfile openssl.cnf
4. 将新证书导入到WSO2的密钥库：

   keytool -importcert -file server.crt -keystore wso2carbon.jks -alias wso2carbon
   

   （默认密钥库密码为wso2carbon，按提示确认即可）
5. 重启WSO2 APIM服务

3. 测试环境临时绕过验证（不推荐生产使用） #

若为测试场景，可临时关闭apictl的证书验证：

apictl env update dev -k

该命令会跳过证书校验，快速完成连接，但生产环境禁止使用此方法。

内容的提问来源于stack exchange，提问作者naxuss