Graylog节点系统信息不可用：证书链不被TrustManagers信任

问题现象 #

• 可正常登录Graylog Web界面，但「Node」模块中Debian节点显示「System information is currently unavailable」
• Graylog日志报错：

  2024-06-05T06:10:25.244+02:00 WARN [ProxiedResource] Failed to call API on node , cause: None of the TrustManagers trust this certificate chain. (duration: 21 ms)

• 已参照官方文档部署自签名证书，并尝试导入到系统内多个JVM信任库，但问题未解决

排查与解决步骤 #

1. 确认Graylog实际使用的JVM版本 #

Graylog可能未使用你手动导入证书的JVM版本，需先定位其运行依赖的Java环境：

ps aux | grep graylog

查看输出中Graylog进程的启动命令，找到实际调用的java可执行文件路径（例如/lib/jvm/java-1.17.0-openjdk-amd64/bin/java）。

2. 使用对应JVM的keytool重新导入证书 #

必须使用Graylog实际依赖的JVM自带的keytool工具导入证书，确保信任库匹配：

# 替换为你的JVM路径、证书路径和自定义别名
sudo /lib/jvm/java-1.17.0-openjdk-amd64/bin/keytool -importcert -alias graylog-selfsigned -file /path/to/your/cert.pem -keystore /lib/jvm/java-1.17.0-openjdk-amd64/lib/security/cacerts

• 默认信任库密码为changeit，按提示输入并确认导入
• 验证证书是否成功导入：

  sudo /lib/jvm/java-1.17.0-openjdk-amd64/bin/keytool -list -alias graylog-selfsigned -keystore /lib/jvm/java-1.17.0-openjdk-amd64/lib/security/cacerts
  

3. 检查Graylog证书配置与文件权限 #

打开Graylog主配置文件/etc/graylog/server/server.conf，确认以下配置项正确：

http_enable_tls = true
http_tls_cert_file = /path/to/your/cert.pem
http_tls_key_file = /path/to/your/private-key.pem

同时确保证书文件权限符合要求：

sudo chown graylog:graylog /path/to/your/cert.pem /path/to/your/private-key.pem
sudo chmod 600 /path/to/your/private-key.pem

4. 确认证书有效性与主机名匹配 #

• 若使用链式证书（CA根证+服务器证书），需将CA根证书导入信任库，而非仅导入服务器证书
• 自签名证书的CN或SAN字段必须包含Graylog节点的主机名/IP，否则节点间API调用会触发主机名验证失败

5. 重启Graylog服务 #

修改信任库或配置后，必须重启服务使变更生效：

sudo systemctl restart graylog-server

6. 验证节点API连接 #

在Graylog服务器上用curl测试节点API的HTTPS连通性，排查证书本身是否存在问题：

curl -v --cacert /path/to/your/cert.pem https://<node-ip>:9000/api/system

若curl能正常返回JSON数据，说明证书本身有效，需再次检查JVM信任库的导入操作是否正确。

内容的提问来源于stack exchange，提问作者Rafifou