Spring Cloud中的Eureka客户端与启用SSL的Eureka服务器连接时，PKIX路径构建失败

Question

我正在使用spring Boot构建基于云的微服务架构。我们只使用嵌入式容器，这是spring Boot的tomcat。此外，我们还将证书添加到jvm密钥库中。

有趣的是，当我将Eureka服务器保持在非安全端口上，即保持在http上时，我所有的Eureka客户端都启用了ssl，能够毫无问题地连接，但我并不真的需要在我的体系结构中这样做，因为我还使用zuul作为所有微服务的单一入口点。

当使用http时，一切都很好，但当启用https和SSL时，就开始失败了。

以下是我的Eureka服务器配置。

eureka.instance.hostname= localhost
eureka.client.registerWithEureka= false
eureka.client.fetchRegistry= false
server.port= 8761

server.ssl.enabled = true
server.ssl.key-store=classpath:ssl.keystore
server.ssl.key-store-password=changeit

and my Eureka Client Configuration.
server.port=8181
spring.application.name=my-client
eureka.instance.hostname=localhost
eureka.instance.securePort = 8181
eureka.instance.securePortEnabled = true
eureka.instance.nonSecurePortEnabled = false
eureka.instance.metadataMap.hostname = ${eureka.instance.hostname}
eureka.instance.metadataMap.securePort = ${server.port}
eureka.instance.homePageUrl = https://${eureka.instance.hostname}:${server.port}/
eureka.instance.statusPageUrl = https://${eureka.instance.hostname}:${server.port}/admin/info
eureka.client.serviceUrl.defaultZone: https://localhost:8761/eureka/ 
server.ssl.enabled = true
server.ssl.key-store=classpath:ssl.keystore
server.ssl.key-store-password=changeit

Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
at sun.security.validator.PKIXValidator.doBuild(Unknown Source) ~[na:1.8.0_91]
at sun.security.validator.PKIXValidator.engineValidate(Unknown Source) ~[na:1.8.0_91]
at sun.security.validator.Validator.validate(Unknown Source) ~[na:1.8.0_91]
at sun.security.ssl.X509TrustManagerImpl.validate(Unknown Source) ~[na:1.8.0_91]
at sun.security.ssl.X509TrustManagerImpl.checkTrusted(Unknown Source) ~[na:1.8.0_91]
at sun.security.ssl.X509TrustManagerImpl.checkServerTrusted(Unknown Source) ~[na:1.8.0_91]
... 50 common frames omitted

如果有人对此有见解，我将非常感谢。

Answer 1

IHO您需要在您的Eureka客户端配置trust-store，而不是key-store。属性server.ssl.key-store和server.ssl.key-store-password仅适用于嵌入式容器。您需要在您的Eureka客户机中设置trust-store，当您的Eureka客户机将自身注册到Eureka服务器时，将在验证服务器的SSL证书期间使用该存储库

尝试在您的eureka客户端上定义以下系统属性。

java -Djavax.net.ssl.trustStore=xxxx
java -Djavax.net.ssl.trustStorePassword=xxxx