修改默认密钥库后CAS 6.4.x Tomcat服务器无法启动问题求助

从你提供的报错信息来看，核心问题是Tomcat无法用新密码正确解密密钥库中的密钥——虽然你已经验证了密钥库可以用新密码打开，但CAS和Tomcat的配置中可能还有遗漏的密码配置项没有同步更新，导致密码不匹配引发BadPaddingException。以下是针对性的解决方案：

1. 同步CAS核心加密模块的密钥库密码配置 #

CAS除了Tomcat的SSL配置外，还有自己的加密密钥库（用于加密敏感配置、票据等），默认使用changeit密码，你需要同步修改这部分配置：

# 添加到你的CAS配置文件中
cas.crypto.keystore.type=PKCS12
cas.crypto.keystore.location=file:/etc/cas/thekeystore
cas.crypto.keystore.password=password
cas.crypto.keystore.alias=cas
cas.crypto.keystore.key-password=password  # 如果密钥的密码和密钥库密码不同，需单独设置

注意：如果你的密钥库中cas别名对应的密钥密码和密钥库密码不一致，必须单独设置key-password，否则会出现密钥解密失败的问题。

2. 确保Helm部署时所有配置正确传递 #

在K8s Helm部署场景下，要确保所有密码配置通过values.yaml或--set参数正确注入到CAS实例中：

示例values.yaml片段： #

cas:
  config:
    cas:
      http-client:
        truststore:
          psw: "password"
          file: "/etc/cas/truststore"
      crypto:
        keystore:
          type: "PKCS12"
          location: "file:/etc/cas/thekeystore"
          password: "password"
          alias: "cas"
          key-password: "password"
    server:
      ssl:
        enable: true
        key-alias: "cas"
        key-store: "file:/etc/cas/thekeystore"
        key-store-type: "PKCS12"
        key-store-password: "password"
        trust-store: "file:/etc/cas/truststore"
        trust-store-type: "PKCS12"
        trust-store-password: "password"

执行Helm升级命令使配置生效：

helm upgrade <your-cas-release-name> apereo/cas -f values.yaml

3. 验证并统一密钥库的密钥密码 #

有时候修改密钥库密码时，可能只更新了密钥库的存储密码，而没有更新密钥本身的密码。你可以用以下命令检查并修改：

# 修改cas别名对应的密钥密码
keytool -keypasswd -keystore thekeystore -alias cas

执行后依次输入旧的密钥库密码、旧的密钥密码，最后设置新的密钥密码为password，确保和密钥库密码一致。

4. 清理K8s配置缓存并重新部署 #

如果之前的配置已经被缓存到ConfigMap或Secret中，需要清理后重新生成：

# 删除旧的配置Map（如果使用ConfigMap挂载配置）
kubectl delete configmap <cas-configmap-name>
# 重新创建配置Map
kubectl create configmap <cas-configmap-name> --from-file=application.properties
# 重启CAS Pod
kubectl rollout restart deployment <cas-deployment-name>

5. 验证Pod中的密钥库文件和权限 #

进入CAS Pod，确认密钥库文件正确挂载且权限可读：

kubectl exec -it <cas-pod-name> -- /bin/bash
# 检查文件存在性
ls -l /etc/cas/thekeystore /etc/cas/truststore
# 用新密码验证密钥库
keytool -list -keystore /etc/cas/thekeystore -storepass password
keytool -list -keystore /etc/cas/truststore -storepass password

确保文件权限为644，且CAS进程运行用户有读取权限。

以上步骤完成后，重新启动CAS服务，应该就能正常启动Tomcat了。

内容的提问来源于stack exchange，提问作者Quang Le