Docker部署Apache NiFi时Truststore配置无效问题求助

问题 #

尝试在Docker容器中部署启用HTTPS的Apache NiFi，操作流程如下：

1. 使用TLS Toolkit生成keystore、truststore及nifi.properties文件
2. 参考Docker Hub示例启动NiFi容器，设置AUTH=tls及相关密钥库、信任库参数
3. 发现docker run自动生成的nifi.properties与TLS Toolkit生成的存在差异，对工具生成的文件做端口、路径调整后复制到容器中

但无论使用哪个版本的配置文件，均出现Truststore属性无效的错误，导致Jetty服务器启动失败。

当前容器内truststore配置 #

$ sudo docker exec -it nifi grep truststore /opt/nifi/nifi-current/conf/nifi.properties
nifi.security.truststore=/opt/certs/nifi-2023-07/my.fqdn.com/truststore.jks
nifi.security.truststoreType=JKS
nifi.security.truststorePasswd=myPassword
nifi.security.user.oidc.truststore.strategy=JDK
nifi.security.user.saml.http.client.truststore.strategy=JDK
nifi.zookeeper.security.truststore=
nifi.zookeeper.security.truststoreType=
nifi.zookeeper.security.truststorePasswd=

错误日志 #

2023-07-11 14:50:47,315 WARN [main] o.a.nifi.security.util.SslContextFactory Some truststore properties are populated (/opt/certs/nifi-2023-07/nifi.4vservices.com/truststore.jks, ********, JKS) but not valid
2023-07-11 14:50:47,316 WARN [main] org.apache.nifi.web.server.JettyServer Failed to start web server... shutting down.
java.lang.IllegalStateException: Invalid nifi.web.https configuration in nifi.properties
        at org.apache.nifi.web.server.connector.FrameworkServerConnectorFactory.<init>(FrameworkServerConnectorFactory.java:89)
        at org.apache.nifi.web.server.JettyServer.configureConnectors(JettyServer.java:738)
        at org.apache.nifi.web.server.JettyServer.init(JettyServer.java:207)
        at org.apache.nifi.web.server.JettyServer.initialize(JettyServer.java:1074)
        at org.apache.nifi.NiFi.<init>(NiFi.java:164)
        at org.apache.nifi.NiFi.<init>(NiFi.java:83)
        at org.apache.nifi.NiFi.main(NiFi.java:332)
Caused by: org.apache.nifi.security.util.TlsException: The truststore properties are not valid
        at org.apache.nifi.security.util.SslContextFactory.getTrustManagers(SslContextFactory.java:181)
        at org.apache.nifi.security.util.SslContextFactory.createSslContext(SslContextFactory.java:67)
        at org.apache.nifi.web.server.connector.FrameworkServerConnectorFactory.<init>(FrameworkServerConnectorFactory.java:86)
        ... 6 common frames omitted
2023-07-11 14:50:47,321 INFO [Thread-0] org.apache.nifi.NiFi Application Server shutdown started
2023-07-11 14:50:47,322 INFO [Thread-0] org.apache.nifi.NiFi Application Server shutdown completed

请问该错误的原因是什么？若无法直接定位，是否有获取更详细错误信息的方法？

可能的原因及排查方法 #

1. 信任库文件路径或权限问题 #

• 检查容器内配置的信任库路径是否真实存在：

  sudo docker exec -it nifi ls -l /opt/certs/nifi-2023-07/my.fqdn.com/
  

• 确认NiFi运行用户（默认是nifi）对该文件有读取权限：

  sudo docker exec -it nifi su - nifi -c 'test -r /opt/certs/nifi-2023-07/my.fqdn.com/truststore.jks && echo "可读" || echo "不可读"'
  

2. 信任库密码错误 #

使用keytool验证密码有效性：

sudo docker exec -it nifi keytool -list -keystore /opt/certs/nifi-2023-07/my.fqdn.com/truststore.jks -storepass myPassword

若密码错误，会返回java.io.IOException: Keystore was tampered with, or password was incorrect提示。

3. 信任库文件损坏或格式不匹配 #

• 确认信任库类型与配置一致（此处为JKS）：

  sudo docker exec -it nifi keytool -list -keystore /opt/certs/nifi-2023-07/my.fqdn.com/truststore.jks -storepass myPassword -storetype JKS
  

• 若命令抛出异常，说明文件损坏，需重新通过TLS Toolkit生成信任库。

4. 配置文件FQDN不一致 #

错误日志中显示的信任库路径是/opt/certs/nifi-2023-07/nifi.4vservices.com/truststore.jks，但配置文件里写的是my.fqdn.com，需确认：

• 复制到容器的nifi.properties是否成功覆盖原有文件
• 容器启动时是否通过-v挂载了正确的配置文件目录

获取更详细错误信息的方法 #

1. 调整日志级别 #

修改容器内/opt/nifi/nifi-current/conf/logback.xml，将SslContextFactory的日志级别改为DEBUG：

<logger name="org.apache.nifi.security.util.SslContextFactory" level="DEBUG"/>

重启容器后，日志会输出信任库加载失败的具体原因（如文件不存在、密码错误等）。

2. 手动测试信任库加载 #

在容器内使用keytool直接验证信任库完整性，或编写简单Java代码测试SSL上下文初始化，获取精准异常信息。

内容的提问来源于stack exchange，提问作者Dave Cassel