如何在OpenShift Pod/Docker容器中配置.cert让Spring Boot访问HTTPS服务？

方法一：将证书打包到应用镜像中 #

• 把API Connect提供的证书文件（如api-connect.crt）放到Spring Boot项目的src/main/resources/certs目录下。
• 本地用keytool将证书导入自定义信任库（避免修改JDK默认cacert）：

  keytool -import -alias api-connect -file api-connect.crt -keystore truststore.jks -storepass changeit
  

  把生成的truststore.jks也放到src/main/resources/certs目录。
• 修改application.properties配置信任库路径：

  server.ssl.trust-store=classpath:certs/truststore.jks
  server.ssl.trust-store-password=changeit
  # 若用RestTemplate/WebClient调用，也可通过配置指定该信任库
  

• 重新构建应用镜像（S2I或Dockerfile构建时，确保证书目录被包含在镜像内）。

方法二：通过OpenShift Secret挂载证书 #

• 本地终端执行命令，将证书导入OpenShift Secret：

  oc create secret generic api-connect-cert --from-file=api-connect.crt=/本地证书路径/api-connect.crt
  

• 编辑应用的Deployment配置，将Secret挂载到容器内指定路径（如/opt/app/certs）：

  spec:
    template:
      spec:
        volumes:
        - name: cert-volume
          secret:
            secretName: api-connect-cert
        containers:
        - name: your-spring-app
          volumeMounts:
          - name: cert-volume
            mountPath: /opt/app/certs
            readOnly: true
  

• 添加JVM启动参数指定信任库（或直接在Spring配置中引用证书文件）：
  在Deployment的环境变量里设置：

  env:
  - name: JAVA_OPTS
    value: "-Djavax.net.ssl.trustStore=/opt/app/certs/truststore.jks -Djavax.net.ssl.trustStorePassword=changeit"
  

  （若直接用crt文件，可通过Spring配置加载证书到SSL上下文，比如给RestTemplate配置自定义SSLContext）

方法三：集群全局信任配置（需管理员权限） #

如果拥有OpenShift集群管理员权限，可将证书添加到集群全局信任存储，所有部署的Java应用会自动信任该证书。操作方式是更新集群中Java镜像的默认cacerts文件，但新手若无管理员权限，优先使用前两种方法。

新手注意事项 #

• 方法一最适合快速验证，步骤简单，无需额外OpenShift配置；
• 方法二更灵活，证书可单独更新，无需重新构建应用镜像；
• 挂载证书时确保容器内应用对挂载路径有读取权限；
• 可进入OpenShift容器执行keytool -list -keystore /path/to/truststore.jks验证证书是否正确加载。

内容的提问来源于stack exchange，提问作者Akash Dubey