WebSphere 9.0.5.10连接DB2 SSL端口时证书路径错误求助

错误根源 #

java.sql.SQLException: [jcc][t4][2030][11211][4.29.24] 连接底层套接字操作时发生通信错误，错误位置：Reply.fill() - socketInputStream.read (-1)，消息：com.ibm.jsse2.util.h: PKIX path building failed: java.security.cert.CertPathBuilderException: unable to find valid certification path to requested target。ERRORCODE=-4499，SQLSTATE=08001

该错误核心是WebSphere无法找到信任DB2服务器证书的完整证书链，常见原因包括：证书未导入到数据源实际使用的信任库、证书链不完整、SSL配置与数据源不匹配。

排查与修复步骤 #

1. 确认数据源关联的SSL信任库 #

• 进入WebSphere管理控制台 → Resources > JDBC > Data sources → 选择你的demo数据源 → 切换到SSL settings标签页
• 记录「SSL configuration」对应的配置（比如NodeDefaultSSLSettings），点击该配置名称，查看其Trust store属性（比如NodeDefaultTrustStore或CellDefaultTrustStore）
• 重点：你之前导入证书的{NodeDefKeystore}必须与这个Trust store一致，否则证书不会被使用。

2. 验证DB2服务器的完整证书链 #

用openssl命令查看DB2服务器返回的证书链，确保获取所有层级的证书：

openssl s_client -connect <DB2_HOST>:<DB2_SSL_PORT> -showcerts

将输出中所有-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----的内容分别保存为单独的.crt文件（包括服务器证书、中间CA证书、根CA证书）。

3. 导入完整证书链到正确的信任库 #

• 进入WebSphere控制台 → Security > SSL certificate and key management > Key stores and certificates → 选择步骤1中确认的Trust store
• 点击Signer certificates > Add，依次导入刚才保存的所有证书，每个证书设置唯一的别名（比如db2-server-cert、db2-intermediate-ca、db2-root-ca）
• 点击「Save」，然后点击「Synchronize changes with nodes」确保配置同步到所有节点。

4. 补充JDBC数据源的SSL属性 #

回到demo数据源的配置页面，添加以下自定义属性（已有属性保留）：

• sslConnection=true（已配置，确认存在）
• sslProtocol=SSL_TLSv1.2（DB2 10.5+推荐，避免协议不兼容）
• sslTrustStoreType=JKS（如果使用WebSphere默认的JKS格式信任库）
• 若使用自定义信任库而非WebSphere内置库，需添加：

  sslTrustStoreLocation=${WAS_INSTALL_ROOT}/etc/your-truststore.jks
  sslTrustStorePassword=<你的信任库密码>
  

5. 重启节点并测试连接 #

• 重启WebSphere应用服务器节点
• 回到数据源页面，点击「Test connection」验证连接是否正常。

额外排查点 #

• 检查WebSphere JVM参数：若JVM启动参数中指定了-Djavax.net.ssl.trustStore，需将证书导入到该参数指定的信任库，而非WebSphere控制台配置的信任库。
• 确认DB2 JCC驱动版本：使用DB2 11.5对应的最新JCC驱动（4.31.x及以上），旧版本可能存在证书链验证Bug。
• 检查证书有效期：确保导入的所有证书未过期，可通过keytool -printcert -file <证书文件>查看有效期。

内容的提问来源于stack exchange，提问作者manoj reddy