SAP与Concur通信中断？别慌！手把手教你用STRUST搞定SSL证书过期（附Concur证书下载）
SAP与Concur通信中断？手把手教你用STRUST解决SSL证书信任问题
当SAP系统与Concur之间的通信突然中断，屏幕上跳出"SSL Peer Certificate Untrusted"的红色报错时，很多运维人员的第一反应往往是头皮发麻。这种跨系统间的SSL证书信任问题在实际业务场景中并不罕见，尤其在证书到期或系统升级后。本文将带你深入理解问题本质，并提供一套完整的诊断与修复流程。
1. 问题诊断与错误分析
遇到通信中断时，盲目操作往往事倍功半。正确的第一步是准确定位问题根源。在SAP环境中，CTE_SETUP事务代码是我们诊断Concur连接问题的第一道工具。
执行CTE_SETUP后，点击"系统"→"检查连接"，系统会返回详细的错误信息。典型的SSL证书问题会显示类似以下内容：
500 SSL Peer Certificate Untrusted SSL handshake with eu1.concursolutions.com:443 failed: SSSLERR_PEER_CERT_UNTRUSTED (-102)这个报错明确指出了问题所在：SAP系统不信任Concur服务器提供的SSL证书。造成这种情况的常见原因包括：
- 证书过期：这是最常见的情况，特别是当Concur更新了其服务器证书
- 证书链不完整：中间CA证书缺失导致验证失败
- 根证书不受信任：SAP的信任存储中缺少必要的根证书
提示：在开始修复前，建议记录完整的错误信息并截图保存，这对后续排查和文档记录都非常重要。
2. 获取Concur最新证书
确认问题源于SSL证书后，下一步是从Concur官方获取最新的证书文件。Concur通常会提供两种格式的证书：
- PEM格式：Base64编码的文本文件，以"-----BEGIN CERTIFICATE-----"开头
- DER格式：二进制格式的证书文件
获取步骤：
- 登录Concur开发者门户或管理控制台
- 导航至"API"或"集成"部分
- 查找"SSL证书"或"安全证书"下载选项
- 下载最新的根证书和中间证书（如有）
实际操作中，你可能会遇到以下情况：
# 示例：使用OpenSSL验证下载的证书 openssl x509 -in concur_cert.pem -text -noout这个命令可以查看证书的详细信息，包括颁发者、有效期等关键信息，确保你下载的是正确且未过期的证书。
3. 使用STRUST导入证书
STRUST是SAP系统中管理SSL证书的核心事务代码。以下是详细的证书导入步骤：
3.1 访问STRUST界面
在SAP系统中输入事务代码STRUST，进入SSL证书管理界面。你会看到类似如下的结构：
| 节点名称 | 描述 |
|---|---|
| SSL客户端标准 | 用于出站连接的证书存储 |
| SSL服务器标准 | 用于入站连接的证书存储 |
| 匿名SSL客户端 | 特殊场景使用的证书存储 |
对于Concur连接问题，我们主要关注"SSL客户端标准"节点。
3.2 证书导入流程
- 展开"SSL客户端标准"节点
- 点击"证书"按钮进入证书管理界面
- 选择"导入证书"功能
- 浏览并选择从Concur下载的证书文件
- 确认证书信息后保存
注意：如果Concur提供了多个证书（如根证书和中间证书），需要分别导入所有相关证书。
导入过程中可能会遇到以下常见问题及解决方案：
- 证书格式不匹配：SAP通常接受PEM格式，如为DER格式需先转换
- 证书链不完整：确保导入所有必要的中间证书
- 权限不足：需要具有相应权限的SAP用户执行此操作
4. 验证与测试
证书导入完成后，必须进行全面的验证以确保问题真正解决。
4.1 证书验证
在STRUST界面中，可以执行以下验证步骤：
- 检查证书列表，确认新导入的证书状态为"有效"
- 查看证书详情，确认有效期覆盖当前日期
- 验证证书链完整性，确保没有缺失的环节
4.2 连接测试
返回CTE_SETUP事务代码，再次执行连接测试：
- 点击"系统"→"检查连接"
- 观察返回结果，应不再显示SSL证书错误
- 如果测试通过，可以尝试执行实际的业务操作验证端到端功能
若测试仍然失败，建议检查：
- 是否导入了所有必要的证书
- 证书是否放置在正确的存储中
- SAP系统时间是否正确（时间偏差也会导致证书验证失败）
5. 长期维护与最佳实践
解决当前问题后，建立长期的证书管理机制同样重要。以下是一些实用建议：
证书到期监控：设置定期检查关键系统证书的有效期
文档记录：维护详细的证书变更记录，包括：
- 证书来源
- 导入日期
- 到期日期
- 相关系统影响
自动化工具：考虑使用SAP Solution Manager等工具监控证书状态
应急预案：为关键系统制定证书更新应急预案，包括：
- 联系人列表
- 证书获取流程
- 回滚方案
在实际运维中，我曾遇到一个案例：某跨国企业的SAP系统每月都会出现短暂的Concur连接问题，后来发现是因为不同地区的服务器使用了不同的证书链。这个教训告诉我们，在分布式环境中，证书管理需要更加细致的规划和验证。