更换OpenJDK后OpenDJ管理端口4444无法认证，求重建证书方案

问题根源 #

更换OpenJDK后，原Java信任存储中的admin-cert证书丢失，导致OpenDJ管理连接器（4444端口）的SSL握手失败——虽然端口处于监听状态，但客户端无法验证服务器证书，进而无法建立连接。

操作步骤 #

1. 停止OpenDJ服务

./stop-ds

2. 重新生成管理密钥库与证书

使用OpenDJ自带的dskeymgr工具（位于bin/目录）生成新的密钥库和证书，确保别名与配置中的admin-cert一致：

# 生成密钥库并创建admin-cert证书
./dskeymgr create-keystore \
  --storeType JKS \
  --keystore ../config/admin-keystore \
  --storePassword <自定义密钥库密码> \
  --keyPassword <自定义密钥密码> \
  --alias admin-cert \
  --subject "CN=你的服务器域名/IP,OU=Admin,O=你的组织,L=城市,ST=省份,C=国家码"

3. 创建信任库并导入证书

# 导出刚才生成的证书
./dskeymgr export-certificate \
  --keystore ../config/admin-keystore \
  --storePassword <密钥库密码> \
  --alias admin-cert \
  --outputFile ../config/admin-cert.crt

# 创建信任库并导入证书
./dskeymgr create-truststore \
  --storeType JKS \
  --keystore ../config/admin-truststore \
  --storePassword <自定义信任库密码> \
  --importCertificate ../config/admin-cert.crt \
  --alias admin-cert

4. 更新密钥/信任管理器配置

使用离线dsconfig工具更新管理连接器关联的密钥和信任管理器：

# 更新密钥管理器配置
./dsconfig --offline --configDir ../config \
  set-key-manager-provider-prop \
  --provider-name "Administration" \
  --set keystore-file:../config/admin-keystore \
  --set keystore-type:JKS \
  --set keystore-password:<密钥库密码>

# 更新信任管理器配置
./dsconfig --offline --configDir ../config \
  set-trust-manager-provider-prop \
  --provider-name "Administration" \
  --set truststore-file:../config/admin-truststore \
  --set truststore-type:JKS \
  --set truststore-password:<信任库密码>

5. 启动服务并验证连接

# 启动OpenDJ
./start-ds

# 测试管理连接（替换服务器地址和密码）
./dsconfig \
  -h <你的服务器地址> \
  -p 4444 \
  -D "cn=Directory Manager" \
  -w <Directory Manager密码> \
  --trustStore ../config/admin-truststore \
  --trustStorePassword <信任库密码>

注意事项 #

• 所有密码需妥善保管，避免泄露；
• 证书主题信息请根据实际环境调整，确保与服务器域名/IP匹配；
• 若客户端使用单独的Java环境，需将admin-cert.crt导入客户端的信任存储（如$JAVA_HOME/jre/lib/security/cacerts）。

内容的提问来源于stack exchange，提问作者salim ep