Apache Kafka Producer PEM格式密钥配置异常排查求助

针对你用Bouncy Castle从JKS导出PEM私钥后，Kafka Producer报私钥错误的问题，按以下步骤逐一排查：

1. 验证PEM私钥本身的合法性 #

• 检查PEM首尾标记：必须是-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----（这是PKCS#8格式，Kafka 3.5.0原生支持）；如果是-----BEGIN RSA PRIVATE KEY-----（PKCS#1格式），需额外配置ssl.keystore.type=PKCS1。
• 用OpenSSL命令验证格式：

  openssl pkcs8 -inform PEM -in your-private-key.pem -noout -text
  

  执行后若报错，直接说明导出的PEM格式损坏。
• 检查PEM内容换行：每行需保持64字符左右，不能有多余空格、换行或特殊符号（比如导出时误加的日志字符）。

2. 排查Bouncy Castle导出私钥的代码逻辑 #

• 确保导出未加密的PKCS#8格式私钥（Kafka不支持加密的PEM私钥，除非配置ssl.key.password，优先用未加密版本排查）。正确导出逻辑示例：

  // 从远程加载的JKS中获取私钥条目
  KeyStore.PrivateKeyEntry keyEntry = (KeyStore.PrivateKeyEntry) keyStore.getEntry("your-alias", new KeyStore.PasswordProtection("jks-password".toCharArray()));
  PrivateKey privateKey = keyEntry.getPrivateKey();
  
  // 使用Bouncy Castle的PEMWriter导出PKCS#8格式
  StringWriter sw = new StringWriter();
  try (PEMWriter writer = new PEMWriter(sw)) {
      writer.writeObject(new PEMObject("PRIVATE KEY", privateKey.getEncoded()));
  }
  String pemPrivateKey = sw.toString();
  

• 避免导出时对私钥做额外加密处理，部分Bouncy Castle工具类默认会加密，需显式指定不加密。

3. 确认私钥与证书的匹配性 #

JKS里的私钥和证书是绑定的，导出PEM后必须确保两者对应：

• 用OpenSSL提取证书的公钥：

  openssl x509 -in your-cert.pem -pubkey -noout
  

• 用OpenSSL提取私钥对应的公钥：

  openssl rsa -in your-private-key.pem -pubout -noout
  

• 对比两个公钥内容，必须完全一致，否则Kafka会判定私钥和证书不匹配。

4. 检查Kafka Producer的SSL配置项 #

确保配置无遗漏或错误：

# 核心PEM配置
ssl.keystore.type=PEM
ssl.key.pem=-----BEGIN PRIVATE KEY-----
# 这里是你的私钥内容，注意换行要准确
-----END PRIVATE KEY-----
ssl.certificate.pem=-----BEGIN CERTIFICATE-----
# 对应JKS里的证书内容
-----END CERTIFICATE-----

# 如果是PKCS#1格式私钥，必须添加此行
# ssl.keystore.type=PKCS1

5. 核对Bouncy Castle版本兼容性 #

Kafka 3.5.0默认依赖bcprov-jdk15on:1.70版本的Bouncy Castle，若你的项目使用更高或更低版本，可能导致导出的PEM格式与Kafka期望不一致，建议统一版本避免兼容性问题。

内容的提问来源于stack exchange，提问作者DoNuT