Kubernetes Pod中SSL握手失败求助：CWPKI0823E错误排查两日无果

我之前也碰到过类似的WebSphere Liberty（WLP）SSL握手故障，结合你提供的错误信息和已经做的排查动作，给你几个针对性的方向：

1. 先确认WLP的信任库配置是否真的生效 #

错误里明确指向了defaultSSLSettings对应的keycopy.jks，先验证这个配置链路是否没问题：

• 打开server.xml，检查SSL配置块是否正确关联了目标信任库，比如：

  <ssl id="defaultSSLSettings" trustStoreRef="defaultTrustStore"/>
  <keyStore id="defaultTrustStore" location="${server.config.dir}/keycopy.jks" type="JKS" password="你的信任库密码"/>
  

• 重启服务器后，查看WLP的启动日志，找类似CWWKO0801I: SSL configuration defaultSSLSettings initialized的日志，确认日志里显示的信任库路径和你修改的keycopy.jks完全一致。

2. 验证目标签名者证书是否真的在信任库中 #

你导入的自签名证书可能和错误里的签名者不匹配，或者没导入完整证书链：

• 用keytool命令列出信任库内的所有证书，确认是否包含CN=cluster.us-south.containers.appdomain.cloud：

  keytool -list -v -keystore /opt/ibm/wlp/usr/servers/defaultServer/keycopy.jks -storepass 你的信任库密码
  

• 如果找不到目标CN，先通过openssl获取服务器的完整证书链，再导入信任库：

  # 获取服务器证书链并保存到文件
  openssl s_client -showcerts -connect cloud.xxxx.container:443 </dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > server-full-chain.crt
  # 导入证书链到信任库
  keytool -importcert -file server-full-chain.crt -alias cluster-signer -keystore keycopy.jks -storepass 你的信任库密码
  

3. 关于"关闭SSL验证"仍报错的问题 #

你可能没正确配置WLP的跳过验证选项，或者应用代码绕过了容器的SSL配置：

• 如果要临时跳过验证（生产环境不建议），需要在server.xml的SSL配置里添加两个参数：

  <ssl id="defaultSSLSettings" trustStoreRef="defaultTrustStore" disableSSLHostnameVerification="true" trustAllCertificates="true"/>
  

• 检查你的应用代码，是否硬编码了自定义的SSL上下文（比如用HttpsURLConnection或第三方HTTP客户端时手动设置了TrustManager），这种情况下容器的全局SSL配置会被忽略。

4. Postman的证书配置误区 #

Postman的证书分CA证书（信任库）和客户端证书，你可能加错了类型：

• 从keycopy.jks导出CA证书：

  keytool -exportcert -alias cluster-signer -file cluster-ca.crt -keystore keycopy.jks -storepass 你的信任库密码
  

• 打开Postman的Settings > Certificates > CA Certificates，点击Add Certificate导入刚才导出的cluster-ca.crt，而不是在Client Certificates里添加。
• 如果还是不行，尝试关闭Postman的全局SSL certificate verification开关，再测试请求。

内容的提问来源于stack exchange，提问作者Mak-mak