JKS转PEM后用于Kafka Python SSL认证报证书验证失败排查

你的证书转换逻辑存在本质错误，完全没有用到truststore.jks里的受信任根CA链：

• 原脚本生成CARoot.pem时，仅从keystore.jks导出了指定别名的单张证书，完全忽略了证书提供方明确要求必须使用的、存放在truststore.jks中的新根CA链。Python客户端找不到信任的根证书，自然会抛出self signed certificate in certificate chain的验证错误——这个报错的本质就是客户端收到服务端返回的证书链后，在本地信任库中找不到对应的根CA。
• 你尝试合并两个JKS后仍然沿用单别名导出的逻辑，根本没有把truststore中的根CA条目导出到最终的PEM文件里，所以报错没有变化。
• Java端的SSL配置是分开加载两个存储文件的：keystore存客户端自身的私钥和客户端证书链，用来做客户端身份认证；truststore存客户端信任的根CA列表，用来校验服务端证书的合法性。你之前的转换流程完全丢失了truststore的作用。
• 升级certifi无法解决问题，因为你手动指定ssl_cafile后，Python SSL层会直接使用你传入的CA文件，不会加载certifi自带的系统信任库。

严格区分两个JKS文件的用途，分别导出对应PEM文件，不要合并JKS：

1. 导出CA信任链文件（对应ssl_cafile参数） #

不需要手动查找truststore内的证书别名，直接全量导出所有受信任CA证书：

# 先将JKS格式的truststore转为PKCS12格式
keytool -importkeystore -srckeystore truststore.jks -destkeystore truststore.p12 -deststoretype PKCS12 -srcstorepass <你的truststore密码> -deststorepass <你的truststore密码>

# 导出所有CA证书到CARoot.pem，这个文件就是后续要传入ssl_cafile的信任链文件
openssl pkcs12 -in truststore.p12 -nokeys -out CARoot.pem -passin pass:<你的truststore密码>

导出完成后可以执行以下命令校验文件内容，确认包含完整的根CA、中间CA证书，而非单张证书：

grep -c "BEGIN CERTIFICATE" CARoot.pem

如果返回值大于1，说明包含多张证书，符合CA链的预期。

2. 导出客户端私钥和客户端证书（对应ssl_keyfile、ssl_certfile参数） #

从keystore.jks导出客户端身份认证需要的材料：

# 将JKS格式的keystore转为PKCS12格式
keytool -importkeystore -srckeystore keystore.jks -destkeystore client.p12 -deststoretype PKCS12 -srcstorepass <你的keystore密码> -deststorepass <你的keystore密码> -srckeypass <你的私钥密码> -destkeypass <你的keystore密码>

# 导出客户端私钥，对应ssl_keyfile参数
openssl pkcs12 -in client.p12 -nodes -nocerts -out key.pem -passin pass:<你的keystore密码>

# 导出客户端证书及客户端侧证书链，对应ssl_certfile参数
openssl pkcs12 -in client.p12 -nokeys -out certificate.pem -passin pass:<你的keystore密码>

3. 配置Python Kafka客户端 #

按照参数对应关系传入文件路径即可：

from kafka import KafkaProducer
producer = KafkaProducer(
    bootstrap_servers='kafka-dev.kafka.com:port',
    security_protocol="SSL",
    ssl_check_hostname=True,
    ssl_cafile="CARoot.pem",
    ssl_certfile="certificate.pem",
    ssl_keyfile="key.pem",
    ssl_password=""  # 导出key.pem时如果设置了私钥密码就填写对应值，无密码则留空
)

如果配置后仍然报错，可以先不启动Python代码，直接用openssl命令校验CA文件是否能正常验证服务端证书：

openssl s_client -connect kafka-dev.kafka.com:port -CAfile CARoot.pem

如果输出末尾显示Verify return code: 0 (ok)，说明CA信任链文件正确，问题出在客户端证书/私钥配置；如果返回其他错误码，说明truststore.jks内的CA链不全，需要联系Kafka运维方获取最新的truststore文件。

内容的提问来源于stack exchange，提问作者bayne