Azure中Istio配置HTTPS遇P12证书读取错误：ASN.1标签不匹配

核心问题 #

从报错信息pkcs12: error reading P12 data: asn1: structure error可以判断，Istio Ingress Pod尝试读取的证书文件格式不符合预期——你看到的"证书字符串"是Base64编码后的PKCS12内容，而非Istio需要的二进制PKCS12文件或PEM格式证书/私钥。

具体原因及解决方法 #

1. Key Vault挂载的是Base64编码文本而非二进制证书 #

Azure Key Vault CSI驱动默认会将证书/Secret以Base64编码的字符串形式挂载到Pod中，而Istio解析PKCS12时需要直接读取二进制文件。

解决：修改SecretProviderClass配置，指定对挂载的证书内容进行Base64解码，生成二进制文件：

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: istio-tls
  namespace: istio-system
spec:
  provider: azure
  parameters:
    keyvaultName: "<你的Key Vault名称>"
    objects: |
      array:
        - |
          objectName: "<你的App Service Certificate名称>"
          objectType: cert  # 注意用cert类型而非secret，确保获取带私钥的证书
          objectVersion: "<证书版本（可选）>"
  secretObjects:
  - secretName: ingress-cert-tls
    type: kubernetes.io/tls
    data:
      - key: tls.pfx
        objectName: "<你的App Service Certificate名称>"
    encoding: base64  # 关键：指定将Base64编码内容解码为二进制文件

2. Istio Gateway未适配PKCS12格式 #

如果使用PKCS12格式的证书，需要在Istio Gateway配置中明确指定证书类型为PKCS12：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: ingress-gateway
  namespace: istio-system
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      credentialName: ingress-cert-tls
      pkcs12: tls.pfx  # 指定PKCS12文件的key名称
      # 如果证书有密码，添加以下配置
      # password:
      #   key: tls-password
      #   secretName: <存储密码的Secret名称>
    hosts:
    - "your-domain.com"

3. 转换为Istio更兼容的PEM格式 #

如果更倾向于使用PEM格式（大多数场景下的默认选择），可以通过init容器将PKCS12证书转换为PEM格式的证书和私钥：

spec:
  template:
    spec:
      initContainers:
      - name: cert-converter
        image: alpine/openssl:latest
        command:
        - sh
        - -c
        - |
          # 将PKCS12转换为PEM证书（无密码）
          openssl pkcs12 -in /mnt/cert/tls.pfx -out /mnt/pem/tls.crt -clcerts -nokeys -passin pass:''
          # 将PKCS12转换为PEM私钥（无密码）
          openssl pkcs12 -in /mnt/cert/tls.pfx -out /mnt/pem/tls.key -nocerts -nodes -passin pass:''
        volumeMounts:
        - name: cert-volume
          mountPath: /mnt/cert
        - name: pem-volume
          mountPath: /mnt/pem
      containers:
      - name: istio-proxy
        volumeMounts:
        - name: pem-volume
          mountPath: /etc/istio/ingressgateway-certs
          readOnly: true
      volumes:
      - name: cert-volume
        csi:
          driver: secrets-store.csi.k8s.io
          readOnly: true
          volumeAttributes:
            secretProviderClass: "istio-tls"
      - name: pem-volume
        emptyDir: {}

额外检查点 #

• 确认Key Vault中的App Service Certificate包含私钥：导入Key Vault时必须选择"导出私钥"选项，否则挂载的证书无法用于TLS终止。
• 验证挂载文件类型：在Pod中执行file /path/to/cert/file，若输出为ASCII text说明是Base64编码，需解码；若为data则是二进制PKCS12文件。

内容的提问来源于stack exchange，提问作者Annio