Consul私有PKI部署遇x509证书密钥用法不兼容错误

问题根源 #

Consul对TLS证书的**密钥用法（Key Usage）和扩展密钥用法（Extended Key Usage）**有明确且严格的要求，你的证书能在Tomcat、LDAP正常工作，是因为这些服务对证书字段的限制更宽松，但不符合Consul的校验规则。

必须满足的证书字段要求 #

1. 基础密钥用法 #

服务器证书必须包含以下至少一项：

• Digital Signature（数字签名）
• Key Encipherment（密钥加密）

2. 扩展密钥用法 #

服务器证书必须明确包含Server Authentication（TLS Web服务器身份验证，对应OID：1.3.6.1.5.5.7.3.1）。如果你的Consul集群需要客户端证书认证，还得加上Client Authentication（OID：1.3.6.1.5.5.7.3.2）。

快速验证证书问题 #

用openssl命令检查证书的关键字段：

# 查看密钥用法
openssl x509 -in your-server-cert.pem -text -noout | grep -A 5 "Key Usage"
# 查看扩展密钥用法
openssl x509 -in your-server-cert.pem -text -noout | grep -A 5 "Extended Key Usage"

如果输出里找不到上述要求的字段，那就是导致错误的直接原因。

修复步骤 #

重新生成并签发符合要求的服务器证书：

1. 在证书签发配置中添加指定的密钥用法和扩展用法，示例openssl配置片段：

[req]
req_extensions = v3_req

[v3_req]
# 基础密钥用法
keyUsage = digitalSignature, keyEncipherment
# 扩展密钥用法，按需添加clientAuth
extendedKeyUsage = serverAuth, clientAuth

2. 用修改后的配置重新生成证书签名请求（CSR）并通过私有CA签发。
3. 将新证书替换Consul配置中的对应文件，重启Consul服务即可。

内容的提问来源于stack exchange，提问作者zappee