如何解决AWS Lambda中PKIX path building failed问题并添加可信证书

这个PKIX路径错误我之前也碰到过，本质就是Lambda运行的JVM环境里没有信任你那个客户端证书——你本地是修改了自己电脑上的系统信任库cacerts，但Lambda用的是AWS托管的JVM，不会继承你本地的配置，得手动把证书加进去。下面给你两种靠谱的解决方案：

方案一：使用自定义信任库文件 #

这种方法适合需要添加多个可信证书的场景，步骤如下：

1. 本地创建自定义信任库
   不用修改系统的cacerts，而是生成一个属于自己的信任库文件，执行以下命令：

   keytool -import -v -trustcacerts -alias "clientcert" -file "client.cer" -keystore my-truststore.jks -keypass changeit -storepass changeit
   

   这个命令会把client.cer导入到新的my-truststore.jks文件中，密码可以根据需要修改。

2. 将信任库打包进Lambda部署包
   把生成的my-truststore.jks和你的Lambda代码放在同一个目录下，一起打包成ZIP部署包。Lambda会把部署包解压到/var/task/目录下，所以代码里可以直接用这个路径访问文件。

3. 在Lambda代码中指定信任库
   在代码初始化阶段，设置JVM的系统属性，指定自定义信任库的路径和密码：

   // 在函数执行前设置这些属性
   System.setProperty("javax.net.ssl.trustStore", "/var/task/my-truststore.jks");
   System.setProperty("javax.net.ssl.trustStorePassword", "changeit");
   

   这样JVM就会使用你自定义的信任库，而不是默认的系统信任库。

方案二：代码动态加载证书（无需修改信任库） #

如果只需要添加单个证书，这种方法更灵活，不用维护额外的信任库文件：

1. 将证书文件打包进部署包
   把client.cer放到Lambda代码的resources目录下（比如Java项目的src/main/resources），打包后会被包含在classpath中。

2. 在代码中动态导入证书
   在发起请求前，读取证书文件并添加到JVM的信任管理器中，示例代码如下：

   import java.io.InputStream;
   import java.security.cert.CertificateFactory;
   import java.security.cert.X509Certificate;
   import javax.net.ssl.SSLContext;
   import javax.net.ssl.TrustManager;
   import javax.net.ssl.TrustManagerFactory;
   import java.security.KeyStore;
   import java.security.SecureRandom;
   import org.apache.http.client.HttpClient;
   import org.apache.http.impl.client.HttpClientBuilder;
   
   // 加载并添加证书到信任管理器
   public HttpClient getCustomHttpClient() throws Exception {
       // 读取证书文件
       InputStream certStream = getClass().getResourceAsStream("/client.cer");
       CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
       X509Certificate clientCert = (X509Certificate) certFactory.generateCertificate(certStream);
   
       // 初始化空的KeyStore并添加证书
       KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
       keyStore.load(null);
       keyStore.setCertificateEntry("clientcert", clientCert);
   
       // 创建自定义信任管理器
       TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
       tmf.init(keyStore);
       TrustManager[] trustManagers = tmf.getTrustManagers();
   
       // 构建SSL上下文
       SSLContext sslContext = SSLContext.getInstance("TLS");
       sslContext.init(null, trustManagers, new SecureRandom());
   
       // 返回使用自定义SSL上下文的HttpClient
       return HttpClientBuilder.create().setSSLContext(sslContext).build();
   }
   

   之后你用这个自定义的HttpClient发起请求，就会信任这个客户端证书了。

额外注意事项 #

• 如果你使用的是其他语言（比如Python、Node.js），逻辑类似：把证书文件打包进部署包，然后在HTTP客户端中指定证书路径。比如Python的requests库可以用verify='/var/task/client.cer'参数。
• 确保部署包中的证书/信任库文件路径正确，Lambda的工作目录是/var/task/，如果文件放在子目录里，路径要对应（比如/var/task/resources/client.cer）。

内容的提问来源于stack exchange，提问作者kaviya .P