在代码中将证书添加到全局 Java 信任库（以编程方式）

Question

我有我的 Spring 引导应用程序的 Kube.netes 部署，我曾经在引导程序中使用keytool更新全局 Java cacerts ：

keytool -noprompt -import -trustcacerts -cacerts -alias $ALIAS -storepass $PASSWORD

但是，我需要使用部署中图像的securityContext中的readOnlyRootFilesystem: true使容器不可变。 因此，我无法像那样使用其他可信任的证书来更新cacert 。

应信任的其他证书作为环境变量CERTS提供。

我认为唯一正确的方法是以编程方式执行此操作，例如在 Spring Boot 组件中的@PostConstruct期间。

我正在研究如何在代码中设置全局信任库的一些示例，但所有示例都涉及更新cacerts然后将其保存到文件系统，这对我不起作用。

一些示例使用System.setProperty("javax.net.ssl.trustStore", fileName); ，但这在我无法更新文件的只读文件系统上也不起作用。

另一个例子建议使用X509TrustManager ，但如果我理解正确的话，这在全球范围内不起作用。

在 Java 或 Spring Boot 中是否有任何方法可以通过编程方式更新全局信任库，以便代码中的每个操作都将使用并且我不必为每个连接实现类似TrustManager的东西？ 我的目标是在开始时将其导入（类似于使用 shell 和keytool完成的操作）。 不接触文件系统，因为它是只读的。

Answer 1

您可以使用以下方法以编程方式更新 Java 信任库，而无需修改只读文件系统：

1. 在您的代码中创建一个 KeyStore object。
2. 使用信任库密码将现有信任库加载到 KeyStore object 中。
3. 解析环境变量 CERTS 并将证书添加到 KeyStore object。
4. 使用 javax.net.ssl.TrustManagerFactory 创建一个带有 KeyStore 的 TrustManagerFactory。
5. 使用 TrustManagerFactory 通过 trustmanager 初始化 SSLContext。
6. 使用 SSLContext.init() 方法将 SSL 上下文设置为所有 SSL 连接的默认值。

您可以在 Spring 引导组件中实现此目的：

@PostConstruct
public void configureGlobalTrustStore() throws KeyStoreException, NoSuchAlgorithmException, CertificateException, IOException, KeyManagementException {
    KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
    InputStream inputStream = getClass().getResourceAsStream("/cacerts");
    trustStore.load(inputStream, "changeit".toCharArray());
    inputStream.close();

    String certString = System.getenv("CERTS");
    if (certString != null) {
        String[] certArray = certString.split(" ");
        for (int i = 0; i < certArray.length; i++) {
            InputStream certInput = new ByteArrayInputStream(Base64.getDecoder().decode(certArray[i]));
            CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
            X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(certInput);
            certInput.close();
            trustStore.setCertificateEntry("cert-" + i, cert);
        }
    }

    TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    trustManagerFactory.init(trustStore);

    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, trustManagerFactory.getTrustManagers(), null);

    SSLContext.setDefault(sslContext);
}

这样，代码中的每个 SSL 连接都将使用更新的信任库，而无需为每个单独的连接配置它。