证书运维排查49 条

加密私钥加载失败处理

私钥带口令时常驻服务无法交互输入，nginx 会在启动时报 cannot load private key / bad decrypt；可选路径是解密后严格限制权限，或使用服务支持的密码文件机制。

判断加密	文件头含 ENCRYPTED 或 Proc-Type/DEK-Info
解密	openssl pkey -in key.enc.pem -out key.pem 后 chmod 600
nginx 机制	ssl_password_file 指定口令文件（注意文件权限）

判断与解密私钥

grep -c 'ENCRYPTED' key.pem
openssl pkey -in key.enc.pem -out key.pem
chmod 600 key.pem

ssl_password_file /etc/nginx/ssl/pass.txt;

口令文件落盘会削弱加密私钥的意义，仅在无法集成 KMS/HSM 时作为过渡，并限制权限与备份范围。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌