使用Ansible openssl_pkcs12模块生成的PKCS#12密码无效问题求助

核心问题 #

Ansible openssl_pkcs12 模块生成的PKCS#12文件，在通过keytool导入JKS或手动打开时提示密码错误，但密码本身正确；而用原生openssl命令生成的同参数文件却能正常使用。这并非模块本身存在BUG，大概率是模块默认参数与openssl原生命令的默认配置不一致，导致生成的文件与keytool兼容性出现问题。

排查与解决步骤 #

1. 对比两种方式生成的文件差异

先通过openssl命令查看两个文件的加密配置，确认参数差异：

# 查看Ansible生成的文件信息
openssl pkcs12 -info -in server_cert-ca.p12 -passin pass:xxxx

# 查看手动生成的文件信息（假设手动命令为如下，替换成你的实际命令）
openssl pkcs12 -export -in server_cert.pem -inkey server-privatekey.pem -out manual.p12 -name Test -passout pass:xxxx
openssl pkcs12 -info -in manual.p12 -passin pass:xxxx

重点对比MAC算法（macalg）和加密算法（encryptalg），这两个参数是导致keytool识别失败的常见原因。

2. 对齐Ansible模块参数与openssl默认值

openssl pkcs12命令默认使用SHA256作为MAC算法、AES-256-CBC作为加密算法，而Ansible模块的默认值可能不同。修改Playbook，显式指定这两个参数：

- name: Generate PKCS#12 file
  openssl_pkcs12:
    action: export
    path: server_cert-ca.p12
    friendly_name: Test
    passphrase: xxxx
    privatekey_path: server-privatekey.pem
    certificate_path: server_cert.pem
    # 对齐openssl默认MAC算法
    macalg: SHA256
    # 对齐openssl默认加密算法
    encryptalg: AES-256-CBC
    state: present
  loop: "{{ my_list }}"

3. 检查私钥与循环逻辑

• 如果你的私钥本身设置了密码，需要在模块中添加privatekey_passphrase参数，传入私钥的密码；
• 检查loop: "{{ my_list }}"是否必要：如果循环会重复覆盖同一个server_cert-ca.p12文件，可能导致最终生成的文件状态异常，可考虑为每个循环项生成独立文件名，或移除不必要的循环。

4. 验证生成文件的有效性

用openssl直接验证Ansible生成文件的密码是否正确：

openssl pkcs12 -in server_cert-ca.p12 -noout -passin pass:xxxx

如果命令无报错，说明密码本身有效，问题确实出在格式兼容性上，上述参数调整即可解决。

内容的提问来源于stack exchange，提问作者pawan u