Bazel 9远程缓存mTLS使用Ed25519客户端证书失败咨询

核心结论 #

Bazel 9（及其依赖的Netty+JDK TLS栈）不支持Ed25519作为客户端证书的密钥算法，底层JDK SSL实现仅支持RSA/DSA/EC三类密钥解析，这是导致TLS初始化失败的直接原因。

问题分析 #

从报错信息Neither RSA, DSA nor EC worked和堆栈跟踪io.netty.handler.ssl.SslContextBuilder.keyManager(...)可确认：

• Netty的SslContextBuilder依赖JDK密钥解析逻辑，但JDK SSL栈在客户端认证场景下，无法识别Ed25519格式私钥（尽管OpenJDK 11+已支持Ed25519作为签名算法，但未适配SSL客户端密钥加载流程）。
• 证书在OpenSSL和Buildbarn（Go语言实现）中正常工作，是因为Go的TLS栈原生支持Ed25519，而JDK栈存在兼容性缺口。

解决方案选项 #

1. 短期可行方案：替换为兼容的客户端证书 #

生成RSA或ECDSA（如P-256）算法的客户端证书，Buildbarn原生支持这些算法，无需修改服务器端PKI配置。
示例生成ECDSA证书命令：

openssl ecparam -name prime256v1 -genkey -noout -out client-ec.key
openssl req -new -key client-ec.key -out client-ec.csr
openssl x509 -req -days 365 -in client-ec.csr -signkey client-ec.key -out client-ec.pem

2. 保留现有PKI的折中方案：添加反向代理 #

在Bazel与Buildbarn之间部署支持Ed25519的反向代理（如Nginx、Envoy）：

• Bazel使用RSA/EC证书连接代理
• 代理使用现有Ed25519证书连接Buildbarn
  这种方式无需修改现有PKI和Buildbarn配置，仅需新增代理层适配两端的TLS算法。

3. 长期方案：等待Bazel官方适配 #

Bazel未来可能通过升级Netty版本、切换到OpenSSL-backed SSL provider等方式支持Ed25519，但目前（Bazel 9）暂无官方支持或配置项可以启用该功能。

内容的提问来源于stack exchange，提问作者ap00rva