【证书管理】【SSL证书更新】SSL证书更新失败

LCC · 2026 年4 月 30 日 10:03

// 此模板仅供参考，如果不适用可以修改

问题描述

现在我在验证SSL证书更新功能，但是报错了

报错日志如下：

2026-04-30 10:02:00.590008 security ERROR: cert_update.c(30): [certificate update] file(x509_extn.c), line(1690) msg(Invalid argument )
2026-04-30 10:02:00.680682 general_hardware ERROR: vrd_manager.lua(111): [VrdMgmt] Get bios status 180s, sys_id: 1, ok: nil, obj: nil
2026-04-30 10:02:00.931321 security ERROR: cert_update.c(30): [certificate update] file(pkcs10.c), line(1093) msg(Invalid attribute )
2026-04-30 10:02:00.932111 security ERROR: cert_update.c(30): [certificate update] file(sec_pki_common.c), line(1882) msg(SEC_PKI_checkKeyids:akid and skid mismatch )
2026-04-30 10:02:00.932212 security ERROR: cert_update.c(30): [certificate update] file(sec_pki_retrive_store.c), line(399) msg(SEC_PKI_hdlFailureGetIssuerPos:No issuer found )
2026-04-30 10:02:00.932269 security ERROR: cert_update.c(30): [certificate update] file(sec_pki_retrive_store.c), line(555) msg(SEC_PKI_GetChain_to_TopNode_Cert:No matching certificate chain found )
2026-04-30 10:02:02.284125 security ERROR: ssl_hook.c(288): [certificate update] connect failed err(error:0A000086:SSL routines::certificate verify failed), err_result(18)
2026-04-30 10:02:02.284297 security ERROR: cert_update.c(30): [certificate update] file(ipsi_cmp_http_callback.c), line(481) msg(IPSI_CMP_httpOnErrorReport:Error occurred on application id 4 with request id 1 )
2026-04-30 10:02:02.285120 security ERROR: cert_update.c(30): [certificate update] file(ipsi_cmp_ctximpl_msg.c), line(1760) msg(IPSI_CMP_recvResponseVal:Receiving the response failed )
2026-04-30 10:02:02.285191 security ERROR: cert_update.c(1331): [certificate update] sent pkcs10 request failed, ret(-1).
2026-04-30 10:02:02.285213 security ERROR: cert_update.c(1416): [certificate update] get cert from ca server failed.
2026-04-30 10:02:02.293486 certificate ERROR: certificate_renew.lua(130): [certificate update] prepare new cert failed, ret = -1
2026-04-30 10:02:02.294696 certificate WARNING: init.lua(97): nil:78 > operation_logger.lua:-1 > certificate_renew.lua:145: The certificate update failed.
2026-04-30 10:02:02.295153 certificate ERROR: operation_logger.lua(85): Renew: CertUpdateFailed

这是为什么呀？闭源的看不了为啥报错

环境信息

openUBMC 2512 LTS SP1

重现步骤

[第一步]
[第二步]
[第三步]

期望结果

[您希望实现什么]

实际结果

[实际发生了什么，包含错误信息]

尝试过的解决方案

[列出您已经尝试过的解决方案及结果]

分析结论

[详细总结您对此问题的分析结论]

ubmc_assistant · 2026 年4 月 30 日 10:06

答案内容由AI生成，仅供参考：

解决方案

方案一：确保CA证书已正确导入（首要步骤）

确认CA服务器证书已导入BMC
- 登录BMC Web界面
- 进入 用户&安全 → 证书管理 → CA证书管理
- 确保用于签署SSL证书的CA根证书（例如openUBMC-Root-CA）已成功导入
- 如果未导入，请先通过"导入CA证书"功能上传正确的CA证书
验证证书链完整性
- 确保导入的CA证书是完整的信任链起点
- 参考知识库中XCA工具创建openUBMC-Root-CA自签名CA证书的做法

方案二：检查网络与服务器可达性

验证BMC能访问CA服务器：

# 在BMC上执行ping测试
ping 10.1.17.74

# 检查端口连通性
telnet 10.1.17.74 5443

确认URL路径正确：
- 服务器地址：10.1.17.74
- 端口：5443
- 路径：/api/csr/sign/pem（需确认CA服务实际监听路径）

方案三：检查证书主题配置

在"证书主题"配置中：
- 国家(C) 已正确设置为 CN
- 常用名(CN) 设置为 Server
建议补充完整其他字段（省份、城市、公司、部门）以提高兼容性

方案四：时间同步检查

确保BMC系统时间准确
错误的时间会导致证书有效期验证失败
通过如下命令设置时间：
```
date -s "2026-04-30 10:00:00"
```

方案五：调试与日志收集

查看完整日志文件：

tail -f /var/log/app.log | grep certificate

使用CLI工具辅助诊断：
- 尝试使用ipmcget/ipmcset命令行工具进行证书操作
- 参考知识库中提到的ipmcset -t certificate -d import命令模式

点击此处查看详细分析解答

SSL证书更新失败问题分析与解决方案

问题描述

在openUBMC 2512 LTS SP1环境中验证SSL证书自动更新功能时失败。通过Web界面手动触发证书更新操作后，系统报错"操作失败"，并记录了大量安全相关的错误日志。BMC无法成功从指定的CA服务器（10.1.17.74:5443）获取新的SSL证书。

关键错误日志分析

根据提供的日志信息，可以识别出多个关键错误：

security ERROR: cert_update.c(30): [certificate update] file(x509_extn.c), line(1690) msg(Invalid argument)
security ERROR: cert_update.c(30): [certificate update] file(pkcs10.c), line(1093) msg(Invalid attribute)
security ERROR: cert_update.c(30): [certificate update] file(sec_pki_common.c), line(1882) msg(SEC_PKI_checkKeyids:akid and skid mismatch)
security ERROR: cert_update.c(30): [certificate update] file(sec_pki_retrive_store.c), line(399) msg(SEC_PKI_hdlFailureGetIssuerPos:No issuer found)
security ERROR: cert_update.c(30): [certificate update] file(sec_pki_retrive_store.c), line(555) msg(SEC_PKI_GetChain_to_TopNode_Cert:No matching certificate chain found)
security ERROR: ssl_hook.c(288): [certificate update] connect failed err(error:0A000086:SSL routines::certificate verify failed), err_result(18)
security ERROR: cert_update.c(1331): [certificate update] sent pkcs10 request failed, ret(-1)
security ERROR: cert_update.c(1416): [certificate update] get cert from ca server failed
certificate ERROR: certificate_renew.lua(130): [certificate update] prepare new cert failed, ret = -1

问题原因分析

1. 证书链验证失败（核心问题）

No matching certificate chain found 和 No issuer found 明确指出BMC在尝试验证CA服务器的证书时，无法找到能够信任的证书链。
certificate verify failed 进一步证实了SSL/TLS握手过程中的证书验证失败。
根本原因：BMC系统中未导入或未正确配置用于验证CA服务器身份的信任根证书（CA证书）。

2. 证书标识符不匹配

akid and skid mismatch（Authority Key Identifier 和 Subject Key Identifier 不匹配）
这表明BMC生成的证书签名请求(CSR)或现有的证书与CA服务器期望的密钥标识符不一致。

3. PKCS#10请求属性无效

Invalid attribute in pkcs10.c 表示生成的证书请求包含CA服务器无法识别或不接受的属性字段。

4. 缺少必要的CA证书

系统缺少作为信任锚点的根CA证书（如知识库中提到的openUBMC-Root-CA），导致无法建立信任链。

解决方案

方案一：确保CA证书已正确导入（首要步骤）

确认CA服务器证书已导入BMC
- 登录BMC Web界面
- 进入 用户&安全 → 证书管理 → CA证书管理
- 确保用于签署SSL证书的CA根证书（例如openUBMC-Root-CA）已成功导入
- 如果未导入，请先通过"导入CA证书"功能上传正确的CA证书
验证证书链完整性
- 确保导入的CA证书是完整的信任链起点
- 参考知识库中XCA工具创建openUBMC-Root-CA自签名CA证书的做法

方案二：检查网络与服务器可达性

验证BMC能访问CA服务器：

# 在BMC上执行ping测试
ping 10.1.17.74

# 检查端口连通性
telnet 10.1.17.74 5443

确认URL路径正确：
- 服务器地址：10.1.17.74
- 端口：5443
- 路径：/api/csr/sign/pem（需确认CA服务实际监听路径）

方案三：检查证书主题配置

在"证书主题"配置中：
- 国家(C) 已正确设置为 CN
- 常用名(CN) 设置为 Server
建议补充完整其他字段（省份、城市、公司、部门）以提高兼容性

方案四：时间同步检查

确保BMC系统时间准确
错误的时间会导致证书有效期验证失败
通过如下命令设置时间：
```
date -s "2026-04-30 10:00:00"
```

方案五：调试与日志收集

查看完整日志文件：

tail -f /var/log/app.log | grep certificate

使用CLI工具辅助诊断：
- 尝试使用ipmcget/ipmcset命令行工具进行证书操作
- 参考知识库中提到的ipmcset -t certificate -d import命令模式

根本原因总结

SSL证书更新失败的根本原因是证书信任链断裂。BMC在尝试连接CA服务器时，由于自身未预置或未正确导入相应的信任根证书（CA Certificate），导致无法验证CA服务器的身份，从而引发SSL握手失败和后续的证书请求流程中断。

此外，AKID/SKID标识符不匹配和PKCS#10属性无效等问题也可能源于新旧证书密钥体系不一致，或BMC内部证书管理状态异常。

预防建议

提前配置信任锚点：
- 在启用任何基于CA的自动更新功能前，务必先将根CA证书导入BMC的信任存储
保持系统时间准确：
- 启用NTP服务或定期校准系统时钟
使用兼容的证书标准：
- 参考知识库中关于Certificate Issue提及的PKCS vs PSS签名标准兼容性问题
完整测试证书生命周期：
- 先测试手动证书导入是否成功，再尝试自动更新功能
参考标准实践：
- 遵循知识库中提到的XCA工具生成openUBMC-Root-CA及其服务器证书的标准流程

版权声明 © SICHUAN HUAKUN ZHENYU INTELLIGENT TECHNOLOGY CO.,LTD, 2025-2026. All rights reserved.

LCC · 2026 年5 月 6 日 02:00

test

Larry_Li · 2026 年5 月 9 日 08:57

注意日志里的报错

No issuer found
No matching certificate chain found

原因是导入到BMC的SSL 证书不是有 CA服务里的 CA根证书签发的。

LCC · 2026 年5 月 11 日 02:29

你知道这个CA服务器怎么搭建不，社区有相关的服务器搭建指导吗

Larry_Li · 2026 年5 月 11 日 07:05

当前没有。可以在百度搜索或者问下 AI。

LCC · 2026 年5 月 11 日 08:23

这个请求路径应该填什么路径呀

LCC · 2026 年5 月 11 日 10:10

这个报错信息又是为什么呀

LCC · 2026 年5 月 11 日 10:11

我在尝试自己写一个ca服务器来验证这个功能，但是好像响应要按照固定的格式，这个有指导吗？就是应该怎么返回

Larry_Li · 2026 年5 月 11 日 11:17

CA 服务器需要支持CMPv2协议 的PKI 签名系统。

PKI签名系统可以参考 PKI 实践指南：构建完整的签名中心服务系统 x openUBMC hpm包签名实践

LCC · 2026 年5 月 14 日 03:56

我使用ejbca搭建了一个ca服务器，但是还是报错了：
2026-05-14 03:55:56.505427 security ERROR: cert_update.c(30): [certificate update] file(asn-any.c), line(836) msg(Invalid OID )
2026-05-14 03:55:56.505539 security ERROR: cert_update.c(30): [certificate update] file(pem.c), line(894) msg(Decode failed )
2026-05-14 03:55:56.505643 security ERROR: cert_update.c(30): [certificate update] file(sec_pki_common.c), line(858) msg(SEC_PKI_decodeCertFromBuf: Decode certificate from buffer failed )
2026-05-14 03:55:56.505687 security ERROR: cert_update.c(30): [certificate update] file(sec_pki_common.c), line(895) msg(SEC_PKI_getExtndCertFromBuffer : Certificate decode failed )
2026-05-14 03:55:56.505739 security ERROR: cert_update.c(30): [certificate update] file(sec_pki_store.c), line(1904) msg(SEC_PKI_loadToTrustStore : Get extended cert list failed )
2026-05-14 03:55:56.505792 security ERROR: cert_update.c(30): [certificate update] file(sec_pki_ctx_cert.c), line(3086) msg(SEC_PKI_ctxLoadTrustCACertificateFile : Load CA certificate to trust store failed )
2026-05-14 03:55:56.505824 security ERROR: cert_update.c(1226): [certificate update] load CA cert failed, result(-1)
2026-05-14 03:55:56.506059 security ERROR: cert_update.c(1377): [certificate update] generate pki context failed.
2026-05-14 03:55:56.511518 certificate ERROR: certificate_renew.lua(130): [certificate update] prepare new cert failed, ret = -1
2026-05-14 03:55:56.512021 certificate WARNING: init.lua(97): nil:78 > operation_logger.lua:-1 > certificate_renew.lua:145: The certificate update failed.
2026-05-14 03:55:56.512399 certificate ERROR: operation_logger.lua(85): Renew: CertUpdateFailed
2026-05-14 03:55:56.515146 web_backend NOTICE: base.lua(518): processing_flow_1 foreach_1 timeout,[path=/bmc/kepler/Managers/1/NetworkProtocol/HTTPS/Certificates, interface=bmc.kepler.CertificateService.Renew], t1=1778730956158, t2=1778730956514, time=356
2026-05-14 03:55:58.025830 bmc_core ERROR: net_socket.c(158): RA packet too short, len=32

LCC · 2026 年5 月 14 日 09:53

2026-05-14 09:53:21.329080 security ERROR: cert_update.c(30): [certificate update] file(pkcs10.c), line(1093) msg(Invalid attribute )
2026-05-14 09:53:21.330829 security ERROR: cert_update.c(30): [certificate update] file(sec_pki_common.c), line(1882) msg(SEC_PKI_checkKeyids:akid and skid mismatch )
2026-05-14 09:53:21.977073 general_hardware NOTICE: fructl_handler.lua(76): get_power_state: system[1] get power power ON
2026-05-14 09:53:24.709811 security ERROR: cert_update.c(30): [certificate update] file(ipsi_cmp_ctximpl_msg.c), line(1878) msg(IPSI_CMP_recvResponse:Decoding the response message failed )
2026-05-14 09:53:24.709936 security ERROR: cert_update.c(1331): [certificate update] sent pkcs10 request failed, ret(-1).
2026-05-14 09:53:24.709966 security ERROR: cert_update.c(1416): [certificate update] get cert from ca server failed.
2026-05-14 09:53:24.721345 certificate ERROR: certificate_renew.lua(130): [certificate update] prepare new cert failed, ret = -1
2026-05-14 09:53:24.722862 certificate WARNING: init.lua(97): nil:78 > operation_logger.lua:-1 > certificate_renew.lua:145: The certificate update failed.
2026-05-14 09:53:24.724256 certificate ERROR: operation_logger.lua(85): Renew: CertUpdateFailed

这个akid和skid不匹配是啥报错呀？是我返回的响应不对吗？

Larry_Li · 2026 年6 月 3 日 06:39

参考 X509_V_ERR_AKID_SKID_MISMATCH 的报错。

话题		回复	浏览量
关于更新BMC导入证书的问题交流互助区提问求助	12	248	2025 年6 月 19 日
【CA服务器】SSL证书自动更新功能是否测试过，有测试报告吗 QA SIG 提问求助	1	28	2026 年5 月 27 日
UBMC无法再次更新固件交流互助区提问求助	8	138	2026 年3 月 23 日
hi3093更换成openubmc时，导入SSL证书失败交流互助区提问求助	3	23	2026 年6 月 10 日
bmcgo 升级签名校验与预期不一致——请协助确认归属层级，并指引代码位置与调试方法 CICD SIG 提问求助	17	348	2025 年8 月 28 日

【证书管理】【SSL证书更新】SSL证书更新失败

问题描述

环境信息

重现步骤

期望结果

实际结果

尝试过的解决方案

分析结论

解决方案

方案一：确保CA证书已正确导入（首要步骤）

方案二：检查网络与服务器可达性

方案三：检查证书主题配置

方案四：时间同步检查

方案五：调试与日志收集

SSL证书更新失败问题分析与解决方案

问题描述

关键错误日志分析

问题原因分析

1. 证书链验证失败（核心问题）

2. 证书标识符不匹配

3. PKCS#10请求属性无效

4. 缺少必要的CA证书

解决方案

方案一：确保CA证书已正确导入（首要步骤）

方案二：检查网络与服务器可达性

方案三：检查证书主题配置

方案四：时间同步检查

方案五：调试与日志收集

根本原因总结

预防建议

相关话题