Apache Ignite：如何为服务端节点使用Windows证书存储实现SSL/TLS认证

Ignite默认的SslContextFactory仅支持基于文件的密钥库，要使用Windows证书存储，你需要自定义实现SslContextFactory，直接从Windows系统的证书存储中加载密钥和信任链。

1. 自定义Windows证书存储适配的SslContextFactory #

创建一个继承自org.apache.ignite.ssl.SslContextFactory的类，利用Java的KeyStore API直接访问Windows证书存储（Windows-MY用于私钥证书，Windows-ROOT用于信任根证书）：

import org.apache.ignite.ssl.SslContextFactory;
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
import java.security.KeyStore;

public class WindowsSslContextFactory implements SslContextFactory {
    private String keyAlias; // 可选：指定要使用的证书别名，避免自动选择

    @Override
    public SSLContext createSslContext() throws Exception {
        // 加载Windows个人证书存储（包含私钥）
        KeyStore keyStore = KeyStore.getInstance("Windows-MY");
        keyStore.load(null, null); // 无需文件路径，直接加载系统存储

        // 加载Windows根证书存储（信任链）
        KeyStore trustStore = KeyStore.getInstance("Windows-ROOT");
        trustStore.load(null, null);

        // 初始化密钥管理器
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        if (keyAlias != null) {
            // 如果指定了别名，仅使用该别名对应的密钥
            kmf.init(keyStore, null); // 若私钥有密码，需传入密码数组
        } else {
            kmf.init(keyStore, null); // 自动选择第一个可用的私钥证书
        }

        // 初始化信任管理器
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(trustStore);

        // 创建并初始化SSLContext
        SSLContext sslCtx = SSLContext.getInstance("TLS");
        sslCtx.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);

        return sslCtx;
    }

    // 可选：设置证书别名的setter方法
    public void setKeyAlias(String keyAlias) {
        this.keyAlias = keyAlias;
    }
}

2. 配置Ignite服务端节点 #

在Ignite配置中指定自定义的WindowsSslContextFactory，无需配置传统的密钥库路径和密码参数：

XML配置示例 #

<bean class="org.apache.ignite.configuration.IgniteConfiguration">
    <!-- 其他节点配置 -->
    <property name="sslContextFactory">
        <bean class="com.your.package.WindowsSslContextFactory">
            <!-- 可选：指定要使用的证书别名 -->
            <property name="keyAlias" value="your-certificate-alias"/>
        </bean>
    </property>
    <!-- 启用SSL的其他配置（如clientConnectorConfiguration、discoverySpi等） -->
</bean>

Java代码配置示例 #

IgniteConfiguration cfg = new IgniteConfiguration();
WindowsSslContextFactory sslCtxFactory = new WindowsSslContextFactory();
sslCtxFactory.setKeyAlias("your-certificate-alias"); // 可选
cfg.setSslContextFactory(sslCtxFactory);

// 启用SSL的其他配置，比如设置客户端连接器的SSL
ClientConnectorConfiguration clientCfg = new ClientConnectorConfiguration();
clientCfg.setSslEnabled(true);
cfg.setClientConnectorConfiguration(clientCfg);

// 启动节点
Ignition.start(cfg);

3. 关键注意事项 #

• 权限要求：运行Ignite的进程必须拥有访问Windows证书存储的权限。如果以Windows服务运行Ignite，需确保服务账户有权限读取目标证书；本地运行时，当前登录用户需具备证书读取权限。
• 私钥密码：如果目标证书的私钥设置了密码，需要在KeyManagerFactory.init()方法中传入密码数组，可通过配置参数或安全方式注入密码。
• 证书选择：如果Windows存储中有多个证书，建议通过keyAlias指定明确的证书别名，避免Ignite自动选择错误的证书。

内容的提问来源于stack exchange，提问作者DeviantSpark