K8s环境启用TLS后出现PKIX证书路径验证失败问题求助

这个异常的核心原因是Java运行时的默认信任存储（cacerts）未包含你的自签名CA证书，导致无法验证服务端证书的合法性。以下是几种在K8s环境下的可行解决方法：

1. 自定义Java镜像，导入自签名CA证书（生产环境推荐） #

将自签名CA证书提前打包到Java应用镜像中，确保容器启动时信任该证书：

# 基于你的基础Java镜像构建
FROM openjdk:17-jdk-alpine

# 将本地的自签名CA证书复制到镜像内
COPY ca.crt /opt/ssl/

# 导入证书到Java默认信任存储（默认密码为changeit）
RUN keytool -importcert \
    -file /opt/ssl/ca.crt \
    -alias custom-k8s-ca \
    -keystore $JAVA_HOME/lib/security/cacerts \
    -storepass changeit \
    -noprompt

# 后续添加应用启动命令
COPY your-app.jar /app/
CMD ["java", "-jar", "/app/your-app.jar"]

2. 挂载自定义信任存储到Pod（无需修改镜像） #

如果不想重新构建镜像，可通过K8s Secret挂载包含自签名CA的信任存储：

步骤1：本地生成自定义信任存储 #

# 导入自签名CA到自定义信任存储，设置密码（示例为my-trust-pass）
keytool -importcert \
    -file ca.crt \
    -alias custom-k8s-ca \
    -keystore truststore.jks \
    -storepass my-trust-pass \
    -noprompt

步骤2：创建K8s Secret #

kubectl create secret generic custom-truststore --from-file=truststore.jks

步骤3：在Deployment中挂载并配置Java参数 #

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-java-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: your-java-app
  template:
    metadata:
      labels:
        app: your-java-app
    spec:
      containers:
      - name: app-container
        image: your-existing-java-image
        volumeMounts:
        - name: truststore-volume
          mountPath: /etc/ssl/truststore
          readOnly: true
        env:
        - name: JAVA_OPTS
          value: >-
            -Djavax.net.ssl.trustStore=/etc/ssl/truststore/truststore.jks
            -Djavax.net.ssl.trustStorePassword=my-trust-pass
      volumes:
      - name: truststore-volume
        secret:
          secretName: custom-truststore

3. 临时跳过证书验证（仅测试环境使用） #

绝对禁止在生产环境使用，仅用于临时调试：
在Deployment的环境变量中添加Java参数关闭证书校验：

env:
- name: JAVA_OPTS
  value: >-
    -Djavax.net.ssl.trustStoreType=JKS
    -Djavax.net.ssl.trustStore=/dev/null
    -Djavax.net.ssl.trustStorePassword=changeit
    -Dcom.sun.net.ssl.checkRevocation=false

额外注意事项 #

• 确保自签名证书的SAN（Subject Alternative Name）字段包含服务的访问域名/IP，否则即使信任CA，也会因域名不匹配触发验证失败。
• 若使用K8s Ingress暴露服务，需确认Ingress配置的证书与服务端使用的一致，且客户端访问的是Ingress绑定的域名。

内容的提问来源于stack exchange，提问作者Anushri