Java服务访问Let's Encrypt根权限证书的权限问题解决方案咨询

核心原则 #

不修改证书文件本身的权限或复制文件（避免证书自动更新时的同步问题），通过权限继承、用户组配置让Java服务进程合法读取证书。

具体实现方案 #

1. 将Java服务用户加入证书所属组 #

Let's Encrypt证书文件默认归属root用户，通常关联ssl-cert或letsencrypt用户组。先确认证书文件的组信息：

ls -l /home/letsencrypt/cert/live/x/

将Java服务运行的系统用户（比如chat-service）添加到对应组：

usermod -aG ssl-cert chat-service

完成后重启Java服务，使用户组变更生效。

2. 确保证书目录的权限链可访问 #

证书文件的父目录需要具备执行权限，才能让服务用户遍历到目标文件：

# 给根目录添加其他用户的执行权限
chmod o+x /home/letsencrypt
# 依次给子目录添加执行权限
chmod o+x /home/letsencrypt/cert/live/x

注：目录的执行权限（x）仅允许进入目录，不会带来文件执行的安全风险。

3. 用ACME钩子脚本维护证书权限（自动更新场景） #

如果使用Certbot等工具自动更新证书，可添加后置钩子脚本，在证书更新后自动修正组权限：
创建脚本/etc/letsencrypt/renewal-hooks/post/fix-cert-perms.sh：

#!/bin/bash
chgrp ssl-cert /home/letsencrypt/cert/live/x/*.pem
chmod g+r /home/letsencrypt/cert/live/x/*.pem

给脚本添加执行权限：

chmod +x /etc/letsencrypt/renewal-hooks/post/fix-cert-perms.sh

这样证书更新后会自动保持组可读权限，无需手动干预。

4. Vert.x端的证书加载配置示例 #

确保Vert.x的WebSocket服务正确加载证书链，示例代码：

HttpServerOptions options = new HttpServerOptions()
  .setSsl(true)
  .setKeyCertOptions(new PemKeyCertOptions()
    .setKeyPath("/home/letsencrypt/cert/live/x/privkey.pem")
    .setCertPath("/home/letsencrypt/cert/live/x/cert.pem")
    .setCertChainPath("/home/letsencrypt/cert/live/x/chain.pem"));

vertx.createHttpServer(options)
  .webSocketHandler(ws -> {
    // WebSocket业务逻辑处理
  })
  .listen(443);

不推荐复制证书的原因 #

• 证书自动更新后，副本无法同步，需额外维护同步机制
• 多副本存在会增加证书泄露的风险

内容的提问来源于stack exchange，提问作者Treeda