WSO2 Identity Server切换至SQL Server数据库遇SSL连接异常求助

问题背景 #

按照官方文档配置SQL Server作为WSO2 IS的Carbon数据库，配置了identity_db和shared_db的基础连接信息，但启动时出现SSL连接异常：

Caused by: com.microsoft.sqlserver.jdbc.SQLServerException: The driver could not establish a secure connection to SQL Server by using Secure Sockets Layer (SSL) encryption. Error: "PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target".

尝试添加encrypt=true;trustServerCertificate=true参数后，问题仍未解决。

解决方案 #

1. 修正deployment.toml的参数配置方式 #

WSO2 IS的deployment.toml中，JDBC连接属性需要放在additional_properties节点下，且主机名的反斜杠需转义（\\），正确配置如下：

[database.identity_db]
type = "mssql"
hostname = "localhost\\SQLEXPRESS"
name = "WSO2_IDENTITY_DB"
username = "sa"
password = "P@ssw0rd"
port = "1433"
additional_properties = {encrypt = "true", trustServerCertificate = "true"}

[database.shared_db]
type = "mssql"
hostname = "localhost\\SQLEXPRESS"
name = "WSO2_SHARED_DB"
username = "sa"
password = "P@ssw0rd"
port = "1433"
additional_properties = {encrypt = "true", trustServerCertificate = "true"}

2. 检查SQL Server SSL配置与JDBC驱动版本 #

• 确认SQL Server是否强制SSL连接：打开SQL Server配置管理器，进入SQL Server网络配置 -> 协议实例 -> TCP/IP -> 属性 -> 标志，查看"强制加密"选项状态。若为"是"，需确保客户端SSL参数配置正确。
• 升级JDBC驱动：使用Microsoft SQL Server JDBC驱动9.4版本及以上，替换WSO2 ISlib目录下的旧驱动包，旧版本可能不支持trustServerCertificate参数。

3. 手动导入SQL Server证书到WSO2信任库 #

若上述配置无效，需将SQL Server证书导入WSO2的客户端信任库：

1. 导出SQL Server证书：通过SQL Server配置管理器导出，或用openssl从服务器获取证书文件。
2. 使用keytool命令导入证书到WSO2信任库（默认路径：repository/resources/security/client-truststore.jks）：

   keytool -importcert -file <SQL_SERVER_CERT_PATH> -alias sqlserver-cert -keystore <WSO2_HOME>/repository/resources/security/client-truststore.jks -storepass wso2carbon
   

3. 重启WSO2 Identity Server使配置生效。

4. 验证生成的JDBC URL #

启动WSO2 IS后，查看repository/conf/datasources/master-datasources.xml，确认JDBC URL已包含正确参数：

<url>jdbc:sqlserver://localhost\SQLEXPRESS:1433;databaseName=WSO2_IDENTITY_DB;encrypt=true;trustServerCertificate=true</url>

若参数未正确生成，需重新检查deployment.toml的配置格式。

内容的提问来源于stack exchange，提问作者Ahmed Abd Ellatif