使用Spark CosmosDB连接器时遭遇SSL Tag mismatch异常求助

我来帮你排查这个Spark连接CosmosDB时遇到的SSL异常问题，从你贴出的错误栈来看，核心报错是javax.crypto.AEADBadTagException: Tag mismatch!，这个问题本质是Spark与CosmosDB之间的SSL/TLS通信出现了加密验证失败，下面是具体的排查方向和解决方案：

这个Tag mismatch错误是SSL加密通信时的典型问题——客户端接收到的加密数据包的验证标签和本地计算的不一致，通常和连接器版本不兼容、JDK加密配置、网络拦截或者CosmosDB连接参数有关。

1. 优先检查CosmosDB Spark连接器版本兼容性 #

CosmosDB Spark连接器的版本和Spark、JDK版本的匹配度直接影响底层通信逻辑：

• 如果你用的是Spark 2.x，建议使用azure-cosmosdb-spark_2.11系列的1.4.x或2.4.x版本；Spark 3.x则对应azure-cosmosdb-spark_3-2_2.12这类3.x+版本
• 举个例子，Spark 3.2的正确依赖配置（Scala 2.12）：

  libraryDependencies += "com.microsoft.azure" % "azure-cosmosdb-spark_3-2_2.12" % "4.1.0"
  

• 版本不匹配会导致底层SSL握手或数据传输逻辑冲突，这是最常见的诱因。

2. 调整JVM的SSL加密套件配置 #

JDK默认的加密套件可能和CosmosDB服务端要求的不兼容，你可以在Spark提交命令中添加JVM参数强制指定兼容的加密协议和套件：

spark-submit \
  --conf spark.driver.extraJavaOptions="-Djavax.net.ssl.enabledProtocols=TLSv1.2 -Djavax.net.ssl.cipherSuites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256" \
  --conf spark.executor.extraJavaOptions="-Djavax.net.ssl.enabledProtocols=TLSv1.2 -Djavax.net.ssl.cipherSuites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256" \
  # 其他提交参数...

• 注意：确保你的JDK版本支持TLS 1.2（JDK 8u161及以上默认支持，旧版本需要手动开启）

3. 排查网络环境中的SSL拦截 #

如果你的Spark集群部署在企业内网，很可能存在防火墙、代理或SSL拦截设备（比如DLP工具、杀毒软件）篡改了SSL流量，导致加密标签验证失败：

• 先在测试环境直接连接CosmosDB（绕过内网代理），看是否还出现错误；
• 如果确认是代理问题，需要将CosmosDB的域名（比如<your-account>.documents.azure.com）加入代理的SSL白名单，或者配置Spark使用代理的同时禁用SSL拦截。

4. 调整CosmosDB连接模式与重试配置 #

你提到使用默认配置，CosmosDB默认的Direct连接模式在某些网络环境下可能不稳定，尝试切换到Gateway模式并调整重试参数：

val cosmosConfig = Map(
  "Endpoint" -> "你的CosmosDB端点",
  "Masterkey" -> "你的主密钥",
  "Database" -> "数据库名",
  "Collection" -> "容器名",
  "ConnectionMode" -> "Gateway", // 从Direct切换为Gateway模式
  "MaxRetryAttemptsOnThrottledRequests" -> "5",
  "MaxRetryWaitTimeInSeconds" -> "30"
)

• Gateway模式通过标准HTTPS端口通信，兼容性更强，尤其是在有网络限制的环境中。

5. 验证CosmosDB的网络访问配置 #

确认你的Spark集群IP已经被加入CosmosDB账号的防火墙允许列表，或者临时设置CosmosDB允许所有网络访问（仅测试用）；如果开启了虚拟网络集成，确保Spark集群和CosmosDB在同一个虚拟网络或对等网络中，网络连通性正常。

建议先从连接器版本和JDK SSL配置入手排查，这两个是解决这类问题的最快途径；如果问题依旧，再逐步排查网络环境和CosmosDB的网络配置。也可以先写一个本地的简单Spark读写CosmosDB的测试程序，排除集群环境的干扰。

内容的提问来源于stack exchange，提问作者Bharadwaj Jayaraman