Hazelcast集成启用认证的MongoDB时因证书问题无法访问

这个SSL握手错误其实很好定位——你的Java应用（也就是Hazelcast的MongoMapStore）压根不信任MongoDB集群使用的SSL证书。Java默认的信任库cacerts里没收录这个证书，所以才会报PKIX路径构建失败的错。下面给你一步步解决的方案：

1. 获取MongoDB集群的SSL证书 #

首先你得拿到MongoDB集群用的证书：

• 如果是自签名证书，可以用openssl命令从任意一个MongoDB节点导出证书：

  openssl s_client -connect your-mongodb-host:port < /dev/null | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > mongodb-cert.pem
  

• 如果是CA签发的证书，直接找运维团队要对应的CA根证书即可。

2. 导入证书到Java全局信任库 #

Java默认信任库的路径根据JDK版本略有不同：

• JDK 8及以下：$JAVA_HOME/jre/lib/security/cacerts
• JDK 9+：$JAVA_HOME/lib/security/cacerts

默认密码是changeit，用keytool命令导入证书：

keytool -importcert -trustcacerts -file mongodb-cert.pem -alias mongodb-cluster -keystore $JAVA_HOME/lib/security/cacerts

执行后输入密码，然后输入yes确认导入即可。

3. （可选）在代码中配置自定义信任库 #

如果你不想修改Java全局信任库（比如多应用共享JDK的场景），可以在MongoDB客户端配置里指定自定义信任库。修改你的MongoMapStore代码，在创建MongoClient时添加SSL配置：

// 构建Mongo客户端配置
MongoClientSettings settings = MongoClientSettings.builder()
    .applyConnectionString(new ConnectionString("mongodb://your-username:your-password@host1:port1,host2:port2/?ssl=true"))
    .sslSettings(SslSettings.builder()
        .enabled(true)
        .context(buildCustomSslContext())
        .build())
    .build();

MongoClient mongoClient = MongoClients.create(settings);

// 自定义SSL上下文构建方法
private SSLContext buildCustomSslContext() throws Exception {
    // 加载自定义信任库
    KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
    trustStore.load(new FileInputStream("/path/to/your/custom-truststore.jks"), "your-truststore-password".toCharArray());

    // 初始化信任管理器
    TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    trustManagerFactory.init(trustStore);

    // 创建SSL上下文
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, trustManagerFactory.getTrustManagers(), null);
    return sslContext;
}

你需要先创建自定义信任库并导入MongoDB证书：

keytool -importcert -file mongodb-cert.pem -alias mongodb-cluster -keystore custom-truststore.jks

额外检查项 #

• 确保你的MongoDB连接字符串里明确加上了ssl=true参数，强制启用SSL连接；
• 如果MongoDB集群还要求客户端证书认证，你还需要配置客户端密钥库，但你的错误是信任链问题，优先解决信任库即可；
• 确认你操作的是应用实际使用的Java环境的信任库，有些服务器可能安装了多个JDK/JRE，别搞错路径。

内容的提问来源于stack exchange，提问作者arrhhh