Wildfly部署EJBCA 8遇SSL握手失败：certificate_unknown求助

排查Wildfly服务器端证书配置 #

• 检查Wildfly的standalone.xml（或domain.xml）中<security-realm>配置，确认keystore-path指向EJBCA生成的密钥库文件，且keystore-password与install.properties中的配置完全一致。
• 用keytool验证服务器证书的有效性，确保证书的Subject Alternative Name包含访问用的IP（10.0.0.16）或对应域名，否则浏览器会判定证书不匹配：

  keytool -list -v -keystore /path/to/your/keystore.p12 -storetype PKCS12
  

完善浏览器证书信任链 #

• 除了导入superadmin.p12，还需将EJBCA生成的根CA证书导入浏览器的“受信任根证书颁发机构”区域。可通过以下命令从EJBCA密钥库导出根CA证书：

  keytool -export -alias rootca -keystore /path/to/ejbca/keystore.jks -file rootca.crt
  

• 检查superadmin.p12的证书详情，确认“证书路径”中所有层级的证书都已被浏览器信任。

核对Java版本与TLS配置兼容性 #

• 确认EJBCA 8支持Wildfly 26.0.0.Final + Java 17的组合。若存在兼容性问题，可在Wildfly的standalone.xml中调整HTTPS连接器的TLS协议，指定兼容版本：

  <connector name="https" protocol="org.apache.coyote.http11.Http11NioProtocol" port="8443" scheme="https" secure="true">
      <ssl name="ssl" key-alias="servercert" password="yourpassword" certificate-key-file="/path/to/keystore.p12" protocol="TLSv1.2" ssl-protocols="TLSv1.2,TLSv1.3"/>
  </connector>
  

开启TLS调试日志定位问题 #

• 在Wildfly的standalone.xml中添加调试日志配置，重启后查看server.log获取详细错误信息：

  <logger category="javax.net.ssl">
      <level name="DEBUG"/>
  </logger>
  <logger category="org.apache.coyote.http11">
      <level name="DEBUG"/>
  </logger>
  

  日志会明确是服务器证书不被信任，还是客户端superadmin证书未被服务器识别。

验证EJBCA管理员证书权限 #

• 通过EJBCA CLI工具检查superadmin是否已被注册为管理员：

  ./ejbca.sh ra listadmins
  

  若未找到，执行以下命令导入证书并赋予管理员权限：

  ./ejbca.sh ra addadmin superadmin --certfile /path/to/superadmin.crt --caname yourcaname
  

内容的提问来源于stack exchange，提问作者codemaster1101