从Vault CLI获取的证书在NGINX容器启动时触发TRUSTED CERTIFICATE错误

• 验证从Vault导出的证书格式是否正确

  • 用Vault CLI导出时，只提取证书字段，比如执行 vault kv get -field=home.crt secret/path/to/certs，确保输出是纯PEM内容，不带Vault的元数据或其他多余信息。
  • 检查导出的home.crt文件，必须包含完整的-----BEGIN CERTIFICATE-----头部和-----END CERTIFICATE-----尾部，且这两行单独占一行，中间是连续的Base64编码内容。如果缺失或格式不对，说明导出过程中内容被篡改。

• 检查Dockerfile的证书复制逻辑

  • 明确指定复制的文件名，避免匹配错误：COPY home.crt /etc/nginx/ssl/colossus.crt、COPY door.key /etc/nginx/ssl/door.key，不要用通配符批量复制。
  • 添加权限设置：在COPY之后执行 RUN chmod 644 /etc/nginx/ssl/colossus.crt /etc/nginx/ssl/door.key，确保Nginx进程有读取证书文件的权限。

• 确认Vault中存储的证书本身合规

  • 用 vault kv get secret/path/to/certs 查看Vault里的证书内容，确认home.crt字段是标准PEM格式，不是二进制或其他编码形式。如果存储的是DER格式证书，需要先转换成PEM再存入Vault（可在存入前用本地工具或在线转换工具处理）。

• 避免导出时的格式损坏

  • 不要手动复制粘贴Vault CLI的输出到证书文件，改用重定向命令直接写入：vault kv get -field=home.crt secret/path/to/certs > home.crt、vault kv get -field=door.key secret/path/to/certs > door.key，防止终端换行或编码转换破坏证书内容。

内容的提问来源于stack exchange，提问作者abelay