keytool 生成SSL证书,配置Tomcat证书

1、利用keytool工具

命令行输入：

keytool -genkey -v -alias tomcat -keyalg RSA -keystore D:\home\tomcat.keystore -validity 36500

需要提前配置JDK环境变量，或者直接前往JDK bin目录下执行

注释：D:\home\tomcat.keystore 证书储存的位置

36500 为证书有效期（天），默认90天

二、客户端生成证书

1、为浏览器生成证书，以便让服务器来验证它。为了能将证书顺利导入至IE和Firefox，证书格式应该是PKCS12，因此，使用如下命令生成：

keytool -genkey -v -alias mykey -keyalg RSA -storetype PKCS12 -keystore D:\home\mykey.p12 

（mykey为自定义别名字）

双击mykey.p12文件，即可将证书导入至浏览器（客户端），导入过程中需要输入私钥：changeit

2、让服务器信任客户端证书

由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入，必须先把客户端证书导出为一个单独的CER文件，使用如下命令：

keytool -export -alias mykey -keystore D:\home\mykey.p12 -storetype PKCS12 -storepass password -rfc -file D:\home\mykey.cer 

(mykey为自定义与客户端定义的mykey要一致，password是你设置的密码)。通过以上命令，客户端证书就被我们导出到“D:\home\mykey.cer”文件了

下一步，是将该文件导入到服务器的证书库，添加为一个信任证书使用命令如下：

keytool -import -v -file D:\home\mykey.cer -keystore D:\home\tomcat.keystore

3、让客户端信任服务器证书

由于是双向SSL认证，客户端也要验证服务器证书，因此，必须把服务器证书添加到浏览的“受信任的根证书颁发机构”。由于不能直接将keystore格式的证书库导入，必须先把服务器证书导出为一个单独的CER文件，使用如下命令：

keytool -keystore D:\home\tomcat.keystore -export -alias mykey -file D:\home\tomcat.cer 

(tomcat为你设置服务器端的证书名)。

三、在tomcat中配置安全证书

在server.xml中配置connector

<Connector port="7399" protocol="org.apache.coyote.http11.Http11NioProtocol" redirectPort="8443" URIEncoding="UTF-8" maxThreads="150" scheme="https" secure="true" clientAuth="false" sslProtocol="TLS" SSLEnabled="true" keystoreFile="/softwear/ydzw/ydzw-ydzw/tomcat.keystore" keystorePass="changeit" truststoreFile="/softwear/ydzw/ydzw-ydzw/tomcat.keystore" truststorePass="changeit"/>

可以同时支持Http协议和Https协议

参考如下博客

https://blog.csdn.net/weixin_41581158/article/details/80916467