rdcarrera/add-ca-to-cacert

add-ca-to-cacert

将CA证书添加到Java Keystore

镜像概述

本容器专注于将指定文件夹中的CA证书添加到Java的cacerts文件（当前基于默认OpenJDK的cacerts）。当您需要在Java应用中验证自签名CA证书，或避免SSL握手失败问题时，该镜像可提供高效解决方案。

核心功能

• 批量导入CA证书到Java的cacerts文件
• 支持Kubernetes init容器模式，通过卷共享修改后的cacerts
• 适配自签名证书场景下的Java SSL信任需求

使用场景

• Kubernetes部署中Java应用需信任自签名CA证书的场景
• 解决Java服务与使用自签名证书的后端服务之间的SSL握手问题

配置说明

作为Init容器使用

通过卷共享修改后的cacerts文件，以下是典型配置步骤：

1. 证书配置为ConfigMap

yaml
---
kind: ConfigMap
metadata:
  name: a-ca-certificate
data:
  ca.pem: |-
    -----BEGIN CERTIFICATE-----
    fooooooo
    ......
    fooooooo
    -----END CERTIFICATE-----

2. 卷声明

yaml
volumes:
- configMap:
    defaultMode: 420
    name: a-ca-certificate
  name: a-ca-certificate
- emptyDir: {}
  name: cacerts-binary

3. Init容器声明

yaml
initContainers:
- name: trust-ca-certificate
  env:
  - name: CACERT_DEST
    value: /test
  image: docker.xuanyuan.run/rdcarrera/add-ca-to-cacert
  imagePullPolicy: Always
  volumeMounts:
  - mountPath: /test
    name: cacerts-binary
  - mountPath: /certs/ca.pem
    name: a-ca-certificate
    subPath: ca.pem

4. 应用容器挂载cacerts（RHEL系列）

yaml
volumeMounts:
- mountPath: /etc/pki/ca-trust/extracted/java/cacerts
  name: cacerts-binary
  readOnly: true
  subPath: cacerts

实际应用示例（Keycloak Helm Chart）

在Keycloak的Helm配置文件中添加以下内容（需提前创建证书ConfigMap）：

yaml
extraInitContainers: |
  - name: "trust-ca-certificate"
    image: "rdcarrera/add-ca-to-cacert"
    imagePullPolicy: Always
    env:
    - name: CACERT_DEST
      value: "/test"
    volumeMounts:
    - name: cacerts-***ary
      mountPath: /test
    - name: a-ca-certificate
      mountPath: /certs/ca.pem
      subPath: ca.pem

extraVolumeMounts: |
  - name: cacerts-***ary
    mountPath: /etc/pki/ca-trust/extracted/java/cacerts
    subPath: cacerts
    readOnly: true

extraVolumes: |
  - name: a-ca-certificate
    configMap:
      name: a-ca-certificate
  - name: cacerts-***ary
    e***yDir: {}