配置SSL指标与证书过期监控，能否用KeyStore替代TrustStore？

我已通过KeyTool将SSL证书和私钥添加至KeyStore，目前尝试在两个场景引用该KeyStore：

• 配置SSL指标；
• 使用io.github.agebhar1:micrometer-certs-expiration:0.1.0库配置SSL证书过期监控。

我的配置如下：

# 场景1：服务器SSL配置
server:
  port: 8443
  ssl:
    enabled: true
    key-store-type: JKS
    key-store: C:\Users\myUserName\IdeaProjects\myProject\backend\src\main\resources\keystore.jks
    key-store-password: Y2hhbmdlaXQ=
    key-alias: myKey 

# 场景2：JVM SSL信任库配置
javax:
  net:
    ssl:
      trustStore: C:\Users\myUserName\IdeaProjects\myProject\backend\src\main\resources\keystore.jks
      trustStorePassword: changeit
      trustStoreType: JKS

但出现如下错误：

Caused by: java.security.InvalidAlgorithmParameterException: the trustAnchors parameter must be non-empty
    at java.base/java.security.cert.PKIXParameters.setTrustAnchors(PKIXParameters.java:200) ~[na:na]
    at java.base/java.security.cert.PKIXParameters.<init>(PKIXParameters.java:157) ~[na:na]
    at java.base/java.security.cert.PKIXBuilderParameters.<init>(PKIXBuilderParameters.java:130) ~[na:na]
    at org.apache.tomcat.util.net.SSLUtilBase.getParameters(SSLUtilBase.java:508) ~[tomcat-embed-core-10.1.13.jar:10.1.13]
    at org.apache.tomcat.util.net.SSLUtilBase.getTrustManagers(SSLUtilBase.java:439) ~[tomcat-embed-core-10.1.13.jar:10.1.13]
    at org.apache.tomcat.util.net.SSLUtilBase.createSSLContext(SSLUtilBase.java:253) ~[tomcat-embed-core-10.1.13.jar:10.1.13]
    at org.apache.tomcat.util.net.AbstractJsseEndpoint.createSSLContext(AbstractJsseEndpoint.java:104) ~[tomcat-embed-core-10.1.13.jar:10.1.13]
    ... 41 common frames omitted

请问我能否用KeyStore替代TrustStore？若不可行，请推荐其他可获取SSL证书过期指标的库。

一、KeyStore能否替代TrustStore？ #

可以，但需要满足前提条件：你的KeyStore中必须包含被标记为trustedCertEntry的信任锚证书（比如CA根证书、中间证书，或自签名场景下的自身证书）。

你当前报错的核心原因是：现有的KeyStore中只有服务器的密钥对（PrivateKeyEntry类型），没有可作为信任锚的证书条目，导致JVM初始化SSL上下文时找不到有效的信任锚集合。

修复步骤： #

1. 检查KeyStore条目类型：

   keytool -list -v -keystore keystore.jks
   

   查看输出中是否存在trustedCertEntry类型的条目。
2. 导入信任锚证书到KeyStore：
   如果没有信任锚条目，将对应的CA证书（或自签名证书文件）导入，标记为信任条目：

   keytool -importcert -alias trusted-ca -file your-trust-cert.crt -keystore keystore.jks -storepass changeit
   

   执行命令时按提示确认信任该证书，完成后KeyStore即可同时作为密钥库和信任库使用。

二、SSL证书过期监控替代方案 #

如果不想混用KeyStore和TrustStore，或者micrometer-certs-expiration库不符合需求，可选择以下方案：

• 自定义Micrometer指标：
  通过Java的KeyStore API加载证书，获取X509Certificate的getNotAfter()方法计算剩余有效期，手动注册为Gauge指标，示例代码片段：

  @Bean
  Gauge certExpirationDays(MeterRegistry registry) {
      return Gauge.builder("ssl.cert.expiration.days", () -> {
          // 加载KeyStore并读取证书逻辑
          X509Certificate cert = loadCertificateFromKeystore();
          long diff = cert.getNotAfter().getTime() - System.currentTimeMillis();
          return TimeUnit.MILLISECONDS.toDays(diff);
      }).register(registry);
  }
  

• Spring Boot Actuator扩展：
  利用Actuator的健康检查机制，自定义健康指示器来检查证书过期状态，同时结合Micrometer暴露过期天数指标。
• cert-exporter：
  独立的证书监控工具，可直接读取KeyStore、PEM等格式的证书，将过期指标导出到Prometheus，适合集中化监控场景。

内容的提问来源于stack exchange，提问作者Natalia Sizykh