咨询EC2中truststore的位置及Spring Boot Kafka连接AWS MSK集群的配置

我来帮你理清EC2上truststore的位置，以及Spring Boot Kafka应用连接AWS MSK集群所需的配置细节：

一、EC2默认Java Truststore的位置 #

EC2实例上的默认Java truststore（文件名为cacerts，本质是JKS格式）一般存放在Java运行环境的安全目录下，具体路径取决于你安装的Java版本和系统发行版：

• 对于Amazon Linux 2/2023常用的OpenJDK：
  典型64位路径示例：/usr/lib/jvm/java-1.8.0-openjdk-1.8.0.382.b05-1.amzn2.0.1.x86_64/jre/lib/security/cacerts
  如果你不确定具体路径，可以通过命令快速定位：

  # 输出当前Java环境对应的truststore路径
  echo $(java -XshowSettings:properties -version 2>&1 | grep 'java.home' | awk '{print $3}')/lib/security/cacerts
  

• 默认密码是changeit——这是Java生态通用的默认truststore密码，大部分场景下都适用。

二、连接MSK的Truststore选择 #

连接AWS MSK集群时，其实不需要额外下载专用truststore，因为MSK的SSL证书由Amazon Trust Services这类知名CA签发，这些CA的根证书已经包含在Java默认的cacerts文件里了。直接使用默认的truststore即可满足SSL验证需求。

当然，如果出于某些特殊需求你需要单独的MSK truststore文件，可以通过以下步骤生成：

# 下载AWS官方的根证书包
wget https://truststore.pki.rds.amazonaws.com/global/global-bundle.pem
# 将PEM格式转换为JKS格式的truststore，自定义密码（比如msk-trust-pass）
keytool -importcert -file global-bundle.pem -keystore msk-truststore.jks -storepass msk-trust-pass -noprompt

生成后把msk-truststore.jks放到EC2上应用能访问的目录，比如/opt/app/ssl/，并确保应用进程有读取权限。

三、Spring Boot Kafka的SSL配置示例 #

在你的Spring Boot应用配置文件（application.properties或application.yml）中添加以下SSL参数：

# 指定安全协议为SSL
spring.kafka.properties.security.protocol=SSL
# 指向truststore路径（这里用默认的cacerts路径为例）
spring.kafka.properties.ssl.truststore.location=/usr/lib/jvm/java-1.8.0-openjdk-amzn2.x86_64/jre/lib/security/cacerts
# truststore密码
spring.kafka.properties.ssl.truststore.password=changeit

小提示：如果你的EC2实例使用了自定义Java安装路径，一定要替换成实际的cacerts路径；另外，部署应用时要确保运行应用的用户（比如ec2-user）有读取该文件的权限。

内容的提问来源于stack exchange，提问作者sc cc