信頼された JMeter レコーダーでも mTLS クライアント鍵は必要

JMeter の記録用 CA をブラウザにインストールして解決できるのは、信頼の一方向だけです。ブラウザはレコーダーが差し出す代替の Web サイト証明書を受け入れられます。しかし、アプリケーションの mTLS ハンドシェイクに使うクライアント秘密鍵を JMeter に渡すことはありません。

browser → JMeter recorder → mTLS application
          records HTTPS    presents client identity

傍受された記録では、その後続の HTTPS 接続を JMeter 自身が確立します。JKS または PKCS12 キーストアから、認可されたクライアント証明書と対応する秘密鍵を Options → SSL Manager で、あるいは文書化された JVM キーストア設定で選択してください。テストが使う HTTP 実装と別名の選択も考慮に入れます。公開 CA 証明書だけではその身元を提供できません。

やり取りは順番に切り分けます。まずブラウザがレコーダーを信頼しているか、次に社内プロキシを経由する接続と認証があるか、最後に接続先との TLS ハンドシェイクです。407 はプロキシへのログインに属するもので、mTLS 証明書を変えても解決できません。

記録済みのリクエストデータは、秘密鍵の身元を後の再生に持ち越しません。再生側の発信クライアントにも有効な身元設定が必要です。その再生でプロキシから 407 が返る場合は、JMeter の発信プロキシ資格情報を別途設定してください。