使用GCP CAS证书配置Kafka mTLS时遇信任锚错误

问题场景 #

使用谷歌云证书授权服务（GCP CAS）签发的证书为1主2从的Kafka集群配置mTLS认证，每个节点配置了包含CAS根CA证书的PEM信任库，以及包含CAS签发证书和私钥的PEM密钥库。主节点server.properties配置如下（其他节点仅ssl.keystore.location路径不同）：

listeners=INTERNAL://:port,EXTERNAL://:port
advertised.listeners=INTERNAL://:port,EXTERNAL://:port
listener.security.protocol.map=INTERNAL:SSL,EXTERNAL:SSL
inter.broker.listener.name=INTERNAL
ssl.enabled.protocols=TLSv1.2
ssl.endpoint.identification.algorithm=
producer.ssl.endpoint.identification.algorithm=
consumer.ssl.endpoint.identification.algorithm=
ssl.client.auth=required
ssl.truststore.type=PEM
ssl.truststore.location=/path/ca.crt
ssl.keystore.type=PEM
ssl.key.password=<password>
ssl.keystore.location=/path/master.pem

启动任意节点时均出现如下错误：

ERROR [KafkaServer id=0] Fatal error during KafkaServer startup. Prepare to shutdown (kafka.server.KafkaServer)
org.apache.kafka.common.config.ConfigException: Invalid value javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found. for configuration A client SSLEngine created with the provided settings can't connect to a server SSLEngine created with those settings.

补充：尝试切换为JKS/PKCS12格式的信任库与密钥库后，错误依旧。

解决方案 #

1. 验证根CA证书的有效性与格式 #

• 用OpenSSL检查根CA证书的完整性：

  openssl x509 -in /path/ca.crt -text -noout
  

  确认证书是GCP CAS的有效根CA，且格式为标准PEM（开头-----BEGIN CERTIFICATE-----，结尾-----END CERTIFICATE-----，无多余空行或乱码）。

2. 检查PEM密钥库的内容与结构 #

Kafka的PEM格式密钥库要求私钥在前，证书在后，且私钥密码与配置中的ssl.key.password一致。用以下命令查看密钥库结构：

cat /path/master.pem

确认内容顺序为：

-----BEGIN RSA PRIVATE KEY-----
# 加密的私钥内容
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
# GCP CAS签发的节点证书内容
-----END CERTIFICATE-----

3. 验证证书链的信任关系 #

确认节点证书能被根CA信任：

openssl verify -CAfile /path/ca.crt /path/master.crt

返回OK说明信任关系正常，若报错则需重新获取或签发正确的节点证书。

4. 检查文件路径与权限 #

• 确认ssl.truststore.location和ssl.keystore.location的路径绝对正确，无拼写错误。
• 确保Kafka进程对证书文件拥有读取权限：

  chown kafka:kafka /path/ca.crt /path/master.pem
  chmod 640 /path/ca.crt /path/master.pem
  

5. JKS/PKCS12格式的额外检查 #

若使用JKS或PKCS12，需确保：

• 根CA已正确导入信任库：

  # PKCS12示例
  keytool -importcert -alias cas-root -file ca.crt -keystore truststore.p12 -storetype PKCS12
  # JKS示例
  keytool -importcert -alias cas-root -file ca.crt -keystore truststore.jks
  

• 密钥库包含配对的私钥与证书：

  # PKCS12示例（从PEM转换）
  openssl pkcs12 -export -in master.crt -inkey master.key -out keystore.p12 -name kafka-broker
  

• 配置中ssl.truststore.type和ssl.keystore.type与实际文件格式匹配，且ssl.truststore.password（若设置）正确。

内容的提问来源于stack exchange，提问作者dippatel