在转换为.pem之后，如何将kafka python ssl身份验证使用keystore.jks和truststore.jks文件？

Question

我有2个证书文件，truststore.jks和keystore.jks。 keystore.jks包含我使用的Kafka端点的完整证书链以及我的应用程序的私钥。根据给我truststore.jks的小组的说法，它包含“新的根CA链”，对于获取我的应用程序与Kafka端点连接至关重要。

我尝试使用此脚本生成我在Python代码中使用的3个.pem文件。

#!/bin/bash
srcFolder=$1
keyStore=$1/$2
password=$3
alias=$4
outputFolder=$5

echo $keyStore
echo "Generating certificate.pem"
keytool -exportcert -alias $alias -keystore $keyStore -rfc -file $outputFolder/certificate.pem -storepass $password

echo "Generating key.pem"
keytool -v -importkeystore -srckeystore $keyStore -srcalias $alias -destkeystore $outputFolder/cert_and_key.p12 -deststoretype PKCS12 -storepass $password -srcstorepass $password
openssl pkcs12 -in $outputFolder/cert_and_key.p12 -nodes -nocerts -out $outputFolder/key.pem -passin pass:$password

echo "Generating CARoot.pem"
keytool -exportcert -alias $alias -keystore $keyStore -rfc -file $outputFolder/CARoot.pem -storepass $password

我使用生成的caroot.pem，证书。pem和key.pem我的代码中的文件。

>>> from kafka import KafkaProducer
>>> producer = KafkaProducer(bootstrap_servers='kafka-dev.kafka.com:port', security_protocol="SSL",
... ssl_check_hostname=True,
... ssl_cafile="CARoot.pem",
... ssl_certfile="certificate.pem",
... ssl_keyfile="key.pem",
... ssl_password="")

它给出了此错误：

ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate in certificate chain (_ssl.c:1131)

我尝试组合truststore.jks和keystore.jks so：

keytool -importkeystore -srckeystore truststore.jks -destkeystore keystore_copy.jks

然后，我将keystore_copy.jks通过相同<代码> .pem 转换过程和以前一样，但会产生相同的错误。

在某些情况下，这就是Kafka端点所有者建议在Java配置SSL证书的方式，不幸的是，我是第一个与Python建立联系的人，因此他们无法帮助我。

props.setProperty(CommonClientConfigs.SECURITY_PROTOCOL_CONFIG, "SSL");
props.setProperty(SslConfigs.SSL_TRUSTSTORE_LOCATION_CONFIG, "<kafka-truststore.jks>");
props.setProperty(SslConfigs.SSL_TRUSTSTORE_PASSWORD_CONFIG, "<password>");
props.setProperty(SslConfigs.SSL_KEYSTORE_LOCATION_CONFIG, "<client-keystore.jks>");
props.setProperty(SslConfigs.SSL_KEYSTORE_PASSWORD_CONFIG, "<password>");
props.setProperty(SslConfigs.SSL_KEY_PASSWORD_CONFIG, "<password>");

我缺少什么吗？我相信我需要在我的代码中使用两种.jks文件，但是我想到的唯一方法是失败。

我尝试过的其他事情： PIP安装 - 基于该库过时的相同错误的报告 。

Answer 1

我设法自己找出解决方案。这里的钥匙意识到我需要从truststore.jks文件中使用caroot.pem.pem中的整个CERT链，以使代码工作。以下是我采取的步骤：

从信任存储中生成caroot.pem：

keytool -importkeystore -srckeystore <<truststore-name.jks>> -destkeystore keystore.p12 -srcstoretype jks -deststoretype pkcs12

openssl pkcs12 -in keystore.p12 -out CARoot.pem

generate 证书.pem从密钥库

keytool -exportcert -alias <<alias>> -keystore ./<<keystore—name.jks>> -rfc -file ./certificate.pem -storepass <<password>>

提取私有密钥和生成rsakey.pem 来自KeyStore：

keytool -importkeystore -srckeystore <<keystore-name.jks>> -destkeystore keystore.p12 -deststoretype PKCS12

openssl pkcs12 -in keystore.p12 -nodes -nocerts -out RSAkey.pem

与Kafka-Python生产者的示例：

producer = KafkaProducer(bootstrap_servers='kafka-dev.kafka.com:port', security_protocol="SSL",
ssl_check_hostname=False,
ssl_cafile="CARoot.pem",
ssl_certfile="certificate.pem",
ssl_keyfile="RSAkey.pem",
ssl_password=<<password>>)

Answer 2

问您正确的Kafka端点所有者的以下属性是正确的，但是您的密钥库/信托店具有自签名证书的问题。它似乎在服务器级别启用了ssl.verify或主机名验证。

props.setProperty(CommonClientConfigs.SECURITY_PROTOCOL_CONFIG, "SSL");
props.setProperty(SslConfigs.SSL_TRUSTSTORE_LOCATION_CONFIG, "<kafka-truststore.jks>");
props.setProperty(SslConfigs.SSL_TRUSTSTORE_PASSWORD_CONFIG, "<password>");
props.setProperty(SslConfigs.SSL_KEYSTORE_LOCATION_CONFIG, "<client-keystore.jks>");
props.setProperty(SslConfigs.SSL_KEYSTORE_PASSWORD_CONFIG, "<password>");
props.setProperty(SslConfigs.SSL_KEY_PASSWORD_CONFIG, "<password>");

这是一个使您更好地清楚此错误。

https://community.ibm.com/community/user/ibmz-and-linuxone/blogs/sheng-jie-han/2021/06/06/06/how-to-f-fix-fix-fix-fix-certificate-verificate-verife--failed-failed-neld-self - 签名-C