Zookeeper Quorum通信报PKIX路径构建失败TLS握手错误如何解决

问题根本原因 #

ZooKeeper的客户端对外服务TLS配置和集群Quorum内部通信的TLS配置是完全独立的两套体系，你当前仅配置了对外服务的keystore、truststore参数，Quorum通信时不会复用这部分配置，导致节点作为客户端校验对端证书时无法加载你存放了根CA的truststore，所以抛出路径构建失败的异常。

解决步骤 #

• 首先确认keystore内的证书链配置正确，执行以下命令检查证书链长度：

  keytool -list -v -keystore <你的keystore文件路径> -alias <ZK服务端证书别名>
  

  输出中Certificate chain length值应为2，且能看到按顺序排列的中间证书、ZK服务端证书，代表证书链导入无误。
• 在所有节点的zoo.cfg配置文件中添加Quorum通信专属TLS参数：

  # Quorum通信服务端用keystore配置
  ssl.quorum.keyStore.location=/path/to/your/keystore.jks
  ssl.quorum.keyStore.password=your_keystore_password
  # Quorum通信客户端校验对端证书用truststore配置
  ssl.quorum.trustStore.location=/path/to/your/truststore.jks
  ssl.quorum.trustStore.password=your_truststore_password
  # 你已配置的主机名验证关闭参数保留即可
  ssl.quorum.hostnameVerification=false
  

  如果你使用PEM格式的证书文件，需要额外添加对应类型配置：

  ssl.quorum.keyStore.type=PEM
  ssl.quorum.trustStore.type=PEM
  

  如果你启用了双向 TLS 认证，还需要额外添加参数：

  ssl.quorum.clientAuth=need
  

• 确认你使用的ZooKeeper版本在3.5.5及以上，旧版本不支持Quorum TLS特性，需要先升级到稳定支持版本。
• 滚动重启所有ZK节点，待集群完成选主后即可恢复正常。

内容的提问来源于stack exchange，提问作者liotur