将两个PEM证书导入单个P12密钥库后MongoDB连接验证失败求助

核心问题 #

当PKCS12密钥库中同时存在多个带私钥的证书条目（你的Let's Encrypt服务器证书和MongoDB Atlas客户端证书）时，MongoDB Java驱动通过Spring SSL Bundle加载指定别名的证书时，可能出现证书链匹配错误或驱动自动选择了错误的证书进行验证，从而触发certificate validation failed错误。分开密钥库时，驱动能精准加载对应证书，因此可正常工作。

排查步骤 #

1. 验证密钥库条目完整性
   使用keytool命令检查密钥库中的条目：

   keytool -list -v -keystore keystore.p12 -storetype PKCS12
   

   确认：

   • mongodb别名对应的是PrivateKeyEntry，且证书链包含MongoDB Atlas要求的完整客户端证书
   • server别名对应的是PrivateKeyEntry，包含Let's Encrypt服务器证书及私钥
     若存在条目类型错误（比如误将证书导入为trustedCertEntry），需重新导入。

2. 检查Spring SSL Bundle配置逻辑
   Spring SSL Bundle从同一个密钥库加载不同别名时，底层的密钥管理器可能未严格隔离不同条目的私钥/证书链，导致Mongo驱动在TLS握手时尝试了错误的证书。

解决方法 #

方法1：自定义SSLContext强制指定MongoDB证书别名 #

通过自定义MongoClient的SSLContext，明确只加载mongodb别名的私钥和证书链，避免密钥库中其他条目的干扰：

import com.mongodb.ConnectionString;
import com.mongodb.MongoClientSettings;
import com.mongodb.client.MongoClients;
import com.mongodb.client.MongoClient;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import javax.net.ssl.*;
import java.io.FileInputStream;
import java.io.InputStream;
import java.security.KeyStore;
import java.util.Arrays;

@Configuration
public class MongoConfig {

    @Bean
    public MongoClient mongoClient() throws Exception {
        char[] keystorePassword = System.getenv("PASSWORD").toCharArray();
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        
        try (InputStream is = new FileInputStream("keystore.p12")) {
            keyStore.load(is, keystorePassword);
        }

        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        kmf.init(keyStore, keystorePassword);

        // 自定义KeyManager，强制返回mongodb别名的证书
        KeyManager[] customKeyManagers = Arrays.stream(kmf.getKeyManagers())
                .map(km -> new X509ExtendedKeyManager() {
                    @Override
                    public String chooseClientAlias(String[] keyTypes, Principal[] issuers, Socket socket) {
                        return "mongodb";
                    }

                    @Override
                    public String chooseEngineClientAlias(String[] keyTypes, Principal[] issuers, SSLEngine engine) {
                        return "mongodb";
                    }

                    @Override
                    public String chooseServerAlias(String keyType, Principal[] issuers, Socket socket) {
                        return km.chooseServerAlias(keyType, issuers, socket);
                    }

                    @Override
                    public String chooseEngineServerAlias(String keyType, Principal[] issuers, SSLEngine engine) {
                        return km.chooseEngineServerAlias(keyType, issuers, engine);
                    }

                    @Override
                    public X509Certificate[] getCertificateChain(String alias) {
                        return km.getCertificateChain(alias);
                    }

                    @Override
                    public PrivateKey getPrivateKey(String alias) {
                        return km.getPrivateKey(alias);
                    }

                    @Override
                    public String[] getClientAliases(String keyType, Principal[] issuers) {
                        return new String[]{"mongodb"};
                    }

                    @Override
                    public String[] getServerAliases(String keyType, Principal[] issuers) {
                        return km.getServerAliases(keyType, issuers);
                    }
                })
                .toArray(KeyManager[]::new);

        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(customKeyManagers, null, null);

        MongoClientSettings settings = MongoClientSettings.builder()
                .applyConnectionString(new ConnectionString("<mongo+srv uri>"))
                .sslSettings(SslSettings.builder()
                        .enabled(true)
                        .context(sslContext)
                        .build())
                .build();

        return MongoClients.create(settings);
    }
}

方法2：拆分密钥库（最直接的方案） #

既然分开密钥库能正常工作，可将Let's Encrypt证书和MongoDB证书分别存入独立的PKCS12密钥库，然后修改Spring配置：

spring:
  ssl:
    bundle:
      jks:
        server:
          key:
            alias: server
          keystore:
            location: server-keystore.p12
            password: ${PASSWORD}
            type: PKCS12
        database:
          key:
            alias: mongodb
          keystore:
            location: mongo-keystore.p12
            password: ${PASSWORD}
            type: PKCS12
  data:
    mongodb:
      uri: <mongo+srv uri>
      ssl:
        enabled: true
        bundle: database

方法3：调整证书导入方式 #

确保导入MongoDB证书时，证书链顺序正确（私钥在前，后续为中间证书），重新导入的命令示例：

openssl pkcs12 -export -in mongodb-cert.pem -inkey mongodb-private-key.pem -out mongo-keystore.p12 -name mongodb

内容的提问来源于stack exchange，提问作者Warlock