Golang mTLS连接Falco时X.509密钥对加载权限不足如何解决？

问题修复方案 #

这个报错的核心原因是运行Go程序的操作系统用户，没有/etc/falco/certs/client.key私钥文件的读取权限，可按照以下步骤排查修复：

• 第一步先确认当前私钥的权限配置，执行命令：

ls -l /etc/falco/certs/client.key

默认openssl生成的私钥权限为600，属主为生成证书时的操作用户（多数情况是root），其他用户默认没有读取权限。

• 方案1：修改私钥属主为运行程序的用户（推荐单用户使用场景）
  假设你运行程序的用户名为appuser，依次执行以下命令：

# 修改私钥属主
sudo chown appuser:appuser /etc/falco/certs/client.key
# 保持私钥最小权限，避免泄露风险
sudo chmod 600 /etc/falco/certs/client.key

• 方案2：通过用户组授权（推荐多用户共用证书的场景）
  新建专用证书访问组，将需要读取证书的用户加入组内，避免权限过度开放：

# 新建专用用户组
sudo groupadd falco-cert
# 将运行程序的用户加入组，替换<run-user>为实际用户名
sudo usermod -aG falco-cert <run-user>
# 递归修改证书目录的属组
sudo chgrp -R falco-cert /etc/falco/certs/
# 给目录开放组读和执行权限，给私钥开放组读权限
sudo chmod 750 /etc/falco/certs/
sudo chmod 640 /etc/falco/certs/client.key

注意事项 #

1. 不要将私钥权限设置为777、644等开放权限，会导致私钥泄露，存在被冒充客户端的安全风险。
2. 如果修改权限后依然报错，可检查系统安全模块限制：
   • CentOS/RHEL系列系统可临时关闭SELinux测试：sudo setenforce 0，如果测试生效可新增SELinux规则放开对应路径的读取权限即可。
   • Debian/Ubuntu系列系统可检查AppArmor配置，确认是否限制了程序对证书路径的访问。

内容的提问来源于stack exchange，提问作者Sathya