运行 Docker 容器 [NGINX] 时，来自 Vault CLI 的 .crt 和 .key 证书会导致 TRUSTED CERTIFICATE 错误

Question

我现在正在使用 Vault CLI 和 nginx，目前我需要从 Vault CLI 获取 home.crt 和 door.key。 从保管库中获取此类数据后，我尝试使用 nginx.conf 将其复制到我的 dockerfile。 我已经验证 nginx.conf 可以自行工作，但是当我复制 SSL 终止的 .crt 和 .key 时。 尝试运行 Dockerfile 时收到此错误。

[emerg] 1#1: cannot load certificate "/etc/nginx/ssl/colossus.crt": PEM_read_bio_X509_AUX() failed (SSL: error:0909006C:PEM routines:get_name:no start line:Expecting: TRUSTED CERTIFICATE)
nginx: [emerg] cannot load certificate "/etc/nginx/ssl/colossus.crt": PEM_read_bio_X509_AUX() failed (SSL: error:0909006C:PEM routines:get_name:no start line:Expecting: TRUSTED CERTIFICATE)

我无法直接访问 openSSL，我该如何解决这个问题？

Answer 1

文件/etc/nginx/ssl/colossus.crt是 Vault 自己的 CA 证书（PEM 格式）。 这不是您的 nginx 服务器证书。

您可以使用以下命令获取 Vault 的 CA：

curl ${VAULT_ADDR}/v1/pki/ca/pem

如果你有一个多级CA，你也可以获得整个链。 详情在这里。