无法通过EJBCA的RA UI使用用户名和注册密码检索证书

核心问题梳理 #

在家庭实验室部署EJBCA替代XCA，用自建根证书和ManagementCA根证书生成两个ClientAuth证书：

• 未认证的Public Access User身份：
  • 可通过/ejbca/enrol/keystore.jsp（Public Access Web）正常检索证书
  • 无法通过/ejbca/ra（RA UI）用用户名检索证书
• Public Access Web将在下一版本移除，需迁移至RA UI工作流

可能原因及排查步骤 #

1. RA UI 权限配置差异（最可能） #

Public Access Web和RA UI的权限控制逻辑独立，即使调整了终端实体访问权限，可能遗漏RA UI特定权限项：

• 登录EJBCA Admin UI，进入Roles and Access Rules，找到Public Access User对应的角色
• 确保勾选以下RA相关权限：
  • View End Entities（查看终端实体）
  • Search End Entities（搜索终端实体）
  • View Certificates（查看证书）
  • Search Certificates（搜索证书）
• 额外确认：该角色对两个ClientAuth证书所属的CA、证书模板，均配置了对应访问权限

2. RA UI 搜索过滤规则限制 #

RA UI默认可能带有隐藏过滤条件，导致证书未被展示：

• 在RA UI搜索界面，检查是否默认过滤了证书状态（比如仅显示"Active"，但目标证书处于其他状态）
• 清空所有过滤条件，直接输入用户名执行全局搜索
• 尝试指定Certificate Type为Client Auth后再搜索，匹配Public Access Web的检索逻辑

3. Docker部署配置同步问题 #

若使用Docker部署，可能存在配置未同步到RA UI实例的情况：

• 重启EJBCA容器，确保权限配置、实体数据完成同步
• 检查ejbca-data卷挂载完整性，确认web.properties、roles.properties等配置文件已正确加载
• 验证/ejbca/ra上下文路径未被反向代理或容器配置拦截

4. 证书元数据不一致 #

两个证书的终端实体元数据可能存在异常，导致RA UI无法识别：

• 检查终端实体的Username字段，确认与搜索输入的内容完全一致
• 验证证书与终端实体的关联关系，未出现实体与证书脱节的情况
• 对比Public Access Web返回的证书元数据，与RA UI存储的信息是否一致

日志排查技巧 #

若以上步骤无效，可针对性收集日志定位问题：

• 修改log4j2.xml，将org.ejbca.ui.web.ra的日志级别设为DEBUG
• 执行搜索操作后，查看容器日志中是否存在PermissionDenied（权限拒绝）或EntityNotFound（实体未找到）类报错
• 对比Public Access Web与RA UI的请求日志，分析两者权限校验逻辑的差异

内容的提问来源于stack exchange，提问作者bugzbunny