Envoy运行报错无法读取server-key.pem等证书文件 配置问题求助

• 修正证书路径为绝对路径
  你配置中使用的是相对路径引用证书，Envoy进程在容器中默认工作目录并非证书存放目录，大概率会找不到文件。将所有filename字段的值替换为证书在容器中的绝对路径即可，比如证书存放在容器的/etc/envoy/目录下，就修改为：

filename: /etc/envoy/client-key.pem

其余server-cert.pem、server-key.pem、ca-cert.pem、client-cert.pem都统一修改为对应绝对路径。

• 确认证书已正确导入容器
  如果是构建Envoy镜像，需要在Dockerfile中添加证书拷贝逻辑，示例：

COPY ./your-local-cert-path/*.pem /etc/envoy/

如果是本地测试不把证书打包进镜像，启动容器时要通过volume挂载本地证书目录到容器对应路径：

docker run -v /your-local-cert-dir/:/etc/envoy/ 你的其他启动参数

• 排查文件权限问题
  Envoy容器默认使用非root的envoy用户（UID 101）运行，即便证书存在也可能因为权限不足无法读取。可以选择以下任意一种方案解决：

  1. 本地测试场景下，启动容器时添加--user root参数，用root用户运行Envoy
  2. 构建镜像时修改证书所有者为envoy用户，添加Dockerfile指令：

  RUN chown envoy:envoy /etc/envoy/*.pem
  

  3. 临时测试将本地证书权限修改为644（生产环境私钥不要用644权限，存在安全风险）

• 核对文件名拼写
  检查本地证书文件名和配置中填写的是否完全一致，包括大小写、后缀名拼写，避免手误导致的文件找不到。

内容的提问来源于stack exchange，提问作者Nicholas Bunn