春季云保管库相互 TLS 身份验证问题

Question

我正在尝试设置一个 Spring 启动应用程序以通过 TLS 与我的 Vault 服务器通信。我想使用相互证书身份验证。我可以使用 TLS 设置 Vault 服务器，并且能够使用 CLI 使用客户端证书登录到它。但是，Spring 启动应用程序无法向 Vault 服务器提供其客户端证书 - 每次我运行应用程序时，Vault 服务器都会打印：

http: TLS handshake error from 127.0.0.1:33288: tls: client didn't provide a certificate

客户端(我的 Spring 启动应用程序(打印：

org.springframework.vault.authentication.VaultLoginException:
Cannot login using org.springframework.web.client.ResourceAccessException:
I/O error on POST request for "https://localhost:8200/v1/auth/cert/login": 
Received fatal alert: bad_certificate;
nested exception is javax.net.ssl.SSLHandshakeException:
Received fatal alert: bad_certificate
... (a stack trace for VaultLoginException)

这是我bootstrap.yml：

spring:
application.name: vault-demo
cloud.vault:
host: localhost
port: 8200
scheme: https
uri: https://localhost:8200
connection-timeout: 5000
read-timeout: 15000
config.order: -10
authentication: CERT        
ssl:
trust-store: classpath:keystore.jks
trust-store-password: changeit
key-store: classpath:client-cert.jks
key-store-password: changeit
cert-auth-path: cert

我找不到有关需要在spring.cloud.vault.*下配置的各种属性的任何文档。

我的client-cert.jks存储具有客户端证书和密钥。启用SSL详细日志，我可以看到：

*** ServerHelloDone
Warning: no suitable certificate found - continuing without client authentication
*** Certificate chain

这表示客户端在其信任存储区中找到了服务器的证书，但它没有将客户端的证书发送到服务器。

此外，如果我使用curl发送登录请求，它是成功的：

curl -k --request POST 
--cert work/ca/certs/client.cert.pem 
--key work/ca/private/client.decrypted.key.pem 
--data @payload.json 
https://localhost:8200/v1/auth/cert/login
# gives me back a JSON with newly issued token.

我还尝试使用配置类并将javax.net.ssl.keyStore和相关属性作为JAVA_OPTS传递，但绝对没有区别 - vault 一直说客户端没有发送证书：

@Configuration
public class AppConfig extends AbstractVaultConfiguration {
@Value("${vault.uri}")
URI vaultUri;
@Override
public VaultEndpoint vaultEndpoint() {
return VaultEndpoint.from(vaultUri);
}
@Override
public ClientAuthentication clientAuthentication() {
try {
RestTemplate restTemplate = new RestTemplate();
HttpClientBuilder httpClientBuilder = HttpClients.custom()
.setSSLContext(SSLContext.getDefault())
.useSystemProperties();
restTemplate.setRequestFactory(
new HttpComponentsClientHttpRequestFactory(
httpClientBuilder.build()));
return new ClientCertificateAuthentication(restTemplate);
} catch (NoSuchAlgorithmException e) {
throw new RuntimeException(e);
}
}
}

任何人都可以指出我错过了什么/做错了什么？

Answer 1

问题是我的 Vault 配置没有正确指定tls_client_ca_file属性。将其设置为根CA证书，一切正常。也不需要添加AppConfig类。