EJBCA SCP发布报错：无法连接CRL目标，GUI配置失败求助

以下是针对该问题的具体排查方向：

• EJBCA服务运行用户与命令行用户不一致
  命令行测试用的是当前登录用户，但EJBCA通常以ejbca或jboss这类系统用户运行。需确认：

  • 服务用户是否能访问SSH密钥文件（权限需设为600，且属主为服务用户）
  • 服务用户的~/.ssh/known_hosts是否包含目标VA主机的指纹（命令行用户的配置不代表服务用户的）

• GUI配置中的路径问题

  • 确保目标路径使用绝对路径，GUI中相对路径会基于EJBCA服务用户的家目录，而非命令行用户的
  • 检查路径是否包含特殊字符（如空格、非ASCII字符），GUI解析逻辑可能与命令行存在差异

• SSH密钥的访问权限链问题
  即便密钥文件权限为600，也要检查上级目录权限：

  • 密钥所在的.ssh目录权限必须是700
  • 服务用户对密钥文件所在的整个路径（比如/home/ejbca/.ssh）必须有访问权限，且路径中不能有其他用户的写入权限

• EJBCA的SCP发布器配置细节遗漏

  • 检查GUI中是否指定了正确的SSH端口（若目标VA的SSH端口非默认22）
  • 确认是否启用了"Strict Host Key Checking"，若GUI默认开启，而服务用户的known_hosts未正确添加指纹，会导致连接失败
  • 部分EJBCA版本的SCP发布器需要指定完整的scp命令路径（如/usr/bin/scp），而非仅填写scp

• SELinux/AppArmor等安全模块限制
  若服务器启用了SELinux或AppArmor，可能会阻止EJBCA服务进程发起SSH/SCP连接：

  • 可临时关闭SELinux测试：setenforce 0，若问题解决，需添加对应SELinux规则允许EJBCA进程的网络连接和文件访问
  • 检查AppArmor配置，确保EJBCA相关的profile未限制SSH客户端的执行

• EJBCA进程的环境变量差异
  命令行用户的环境变量（如PATH、HOME）与EJBCA服务进程的可能不同：

  • 确认服务进程的HOME变量指向服务用户的家目录，而非其他路径
  • 检查PATH中是否包含ssh和scp命令的路径，避免因找不到命令导致失败

内容的提问来源于stack exchange，提问作者Maxwell Chandler