同一Tomcat实例部署Dogtag PKI CA与KRA后证书申请报错求助

以下是针对该问题的排查和解决步骤：

• 确认证书导入的目标NSSDB路径
  确保你是将KRA传输证书导入到CA实例的NSSDB中，而非KRA或其他实例的库。默认路径通常为：

  /var/lib/pki/<你的CA实例名>/alias
  

  比如CA实例名为ca，路径就是/var/lib/pki/ca/alias。

• 检查证书导入的信任属性
  导入时需设置正确的信任标志，确保CA信任该证书用于加密操作。正确的导入命令示例：

  certutil -A -d /var/lib/pki/<ca-instance>/alias -n "KRA Transport Certificate" -t "u,u,u" -i /path/to/kra_transport_cert.pem
  

  其中-t "u,u,u"表示该证书对SSL客户端、SSL服务器和电子邮件都可信，符合Dogtag对KRA传输证书的信任要求。

• 验证证书是否成功导入
  执行以下命令查看CA的NSSDB中是否存在该证书：

  certutil -L -d /var/lib/pki/<ca-instance>/alias
  

  输出列表中应能找到名为KRA Transport Certificate（或你导入时指定的别名）的条目。

• 重启CA服务
  Tomcat启动时才会加载NSSDB，导入证书后必须重启CA服务才能生效：

  systemctl restart pki-tomcatd@<ca-instance>.service
  

• 核对CA配置中的KRA参数
  打开CA的配置文件/var/lib/pki/<ca-instance>/conf/CS.cfg，检查以下参数是否正确：

  • kra.hostname：KRA实例的主机名（同一Tomcat实例则为localhost）
  • kra.port：KRA的SSL端口（默认8443）
  • kra.transport.certnickname：导入的KRA传输证书的别名，需与certutil -L输出的名称一致

• 验证证书有效性
  检查证书是否未过期且由CA签发：

  certutil -V -d /var/lib/pki/<ca-instance>/alias -n "KRA Transport Certificate"
  

  若返回certificate is valid则正常，否则需重新生成KRA传输证书。

• 查看CA日志定位细节
  查看CA的调试日志获取更详细的错误信息：

  tail -f /var/log/pki/<ca-instance>/ca/debug
  

  日志中可能会暴露证书找不到、信任链问题等具体原因。

内容的提问来源于stack exchange，提问作者Nour El khatib