需要 ttr-release 版本 >= 2.2.3

Ambari 3.0.0 + Free IPA 统一认证体系 示例环境：Kylin V10 SP3 x86，Realm = TEST.COM

一、适用场景

1、典型报错特征

• Unable to obtain keystore from file ... mytruststore.jks
• javax.naming.CommunicationException: <ipa>:636
• Usersync 用户/组不同步

目标

在 Usersync 主机快速生成/更新 truststore，并导入 FreeIPA CA（/etc/ipa/ca.crt）。

二、解决办法（快速导入）

1、在 usersync 主机执行

TS=/usr/bigtop/current/ranger-usersync/conf/mytruststore.jks
PASS=changeit

install -d -m 0755 "$(dirname "$TS")"

# 导入前先清理旧 alias（避免重复导入报已存在）
keytool -delete -alias ipa-ca -keystore "$TS" -storepass "$PASS" >/dev/null 2>&1 || true

keytool -importcert -noprompt \
  -alias ipa-ca \
  -file /etc/ipa/ca.crt \
  -keystore "$TS" \
  -storepass "$PASS"

# 权限建议收敛
chown ranger:ranger "$TS"
chmod 0640 "$TS"

# 验证
keytool -list -keystore "$TS" -storepass "$PASS" | egrep -i "ipa-ca|Owner:|Issuer:"