keytool常用操作

1、JDK中keytool常用参数说明（不同版本有差异）:

-genkey 在用户主目录
-genkey 在用户主目录中创建一个默认文件”.keystore”,还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书(在没有指定生成位置的情况下,keystore会存在用户系统默认目录)
-alias 产生别名 每个keystore都关联这一个独一无二的alias，这个alias通常不区分大小写
-keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中)
-keyalg 指定密钥的算法 (如 RSA DSA，默认值为：DSA)
-validity 指定创建的证书有效期多少天(默认 90)
-keysize 指定密钥长度 （默认 1024）
-storepass 指定密钥库的密码(获取keystore信息所需的密码)
-keypass 指定别名条目的密码(私钥的密码)
-dname 指定证书发行者信息 其中： “CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名 称,ST=州或省份名称,C=单位的两字母国家代码”
-list 显示密钥库中的证书信息 keytool -list -v -keystore 指定keystore -storepass 密码
-v 显示密钥库中的证书详细信息
-export 将别名指定的证书导出到文件 keytool -export -alias 需要导出的别名 -keystore 指定keystore -file 指定导出的证书位置及证书名称 -storepass 密码
-file 参数指定导出到文件的文件名
-delete 删除密钥库中某条目 keytool -delete -alias 指定需删除的别 -keystore 指定keystore – storepass 密码
-printcert 查看导出的证书信息 keytool -printcert -file g:\sso\michael.crt
-keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias 需修改的别名 -keypass 旧密码 -new 新密码 -storepass keystore密码 -keystore sage
-storepasswd 修改keystore口令 keytool -storepasswd -keystore g:\sso\michael.keystore(需修改口令的keystore) -storepass pwdold(原始密码) -new pwdnew(新密码)
-import 将已签名数字证书导入密钥库 keytool -import -alias 指定导入条目的别名 -keystore 指定keystore -file 需导入的证书
中创建一个默认文件”.keystore”,还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书(在没有指定生成位置的情况下,keystore会存在用户系统默认目录)
-alias 产生别名 每个keystore都关联这一个独一无二的alias，这个alias通常不区分大小写
-keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中)
-keyalg 指定密钥的算法 (如 RSA DSA，默认值为：DSA)
-validity 指定创建的证书有效期多少天(默认 90)
-keysize 指定密钥长度 （默认 1024）
-storepass 指定密钥库的密码(获取keystore信息所需的密码)
-keypass 指定别名条目的密码(私钥的密码)
-dname 指定证书发行者信息 其中： “CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名 称,ST=州或省份名称,C=单位的两字母国家代码”
-list 显示密钥库中的证书信息 keytool -list -v -keystore 指定keystore -storepass 密码
-v 显示密钥库中的证书详细信息
-export 将别名指定的证书导出到文件 keytool -export -alias 需要导出的别名 -keystore 指定keystore -file 指定导出的证书位置及证书名称 -storepass 密码
-file 参数指定导出到文件的文件名
-delete 删除密钥库中某条目 keytool -delete -alias 指定需删除的别 -keystore 指定keystore – storepass 密码
-printcert 查看导出的证书信息 keytool -printcert -file g:\sso\michael.crt
-keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias 需修改的别名 -keypass 旧密码 -new 新密码 -storepass keystore密码 -keystore sage
-storepasswd 修改keystore口令 keytool -storepasswd -keystore g:\sso\michael.keystore(需修改口令的keystore) -storepass pwdold(原始密码) -new pwdnew(新密码)
-import 将已签名数字证书导入密钥库 keytool -import -alias 指定导入条目的别名 -keystore 指定keystore -file 需导入的证书

2、常用命令

2.1、生成Keystore -genkey或者-genkeypair

$ keytool -genkeypair -alias test -keyalg RSA -validity 36500 -keystore keystore.jks -storepass foobar -keypass foobar -keysize 1024 -v -dname  "C=CN,ST=AnHui,L=HeFei,O=Wondertek,OU=dev,CN=www.qwcsp.tk"

正在为以下对象生成 1,024 位RSA密钥对和自签名证书 (SHA256withRSA) (有效期为 36,500 天):
	 C=CN, ST=AnHui, L=HeFei, O=Wondertek, OU=dev, CN=www.qwcsp.tk
[正在存储keystore.jks]

2.2、查看所有证书

$ keytool -list -v -keystore keystore.jks -storepass foobar

密钥库类型: JKS
密钥库提供方: SUN

您的密钥库包含 1 个条目

别名: test
创建日期: 2019-1-31
条目类型: PrivateKeyEntry
证书链长度: 1
证书[1]:
所有者: C=CN, ST=AnHui, L=HeFei, O=Wondertek, OU=dev, CN=www.qwcsp.tk
发布者: C=CN, ST=AnHui, L=HeFei, O=Wondertek, OU=dev, CN=www.qwcsp.tk
序列号: 402e8569
有效期开始日期: Thu Jan 31 16:20:00 CST 2019, 截止日期: Sat Jan 07 16:20:00 CST 2119
证书指纹:
	 MD5: E0:C8:E8:BD:D2:D3:51:A4:26:E4:81:12:45:6F:5F:A0
	 SHA1: C3:84:47:CE:E2:9F:83:D0:26:B7:11:44:65:CB:B7:05:63:F5:4A:31
	 SHA256: DA:B8:2A:2D:7B:81:E6:54:C0:B7:C9:FA:19:98:13:9B:8D:03:26:56:CC:6E:CB:AA:97:C5:9E:33:8E:7A:61:F8
	 签名算法名称: SHA256withRSA
	 版本: 3

扩展:

#1: ObjectId: 2.5.29.14 Criticality=false
SubjectKeyIdentifier [
KeyIdentifier [
0000: 83 47 03 76 C8 8C D5 27   8A B1 68 46 62 A5 58 67  .G.v...'..hFb.Xg
0010: B6 65 9F D3                                        .e..
]
]



*******************************************
*******************************************

2.3、根据别名查询单个证书

$ keytool -list -v -keystore keystore.jks -alias test -storepass foobar

别名: test
创建日期: 2019-1-31
条目类型: PrivateKeyEntry
证书链长度: 1
证书[1]:
所有者: C=CN, ST=AnHui, L=HeFei, O=Wondertek, OU=dev, CN=www.qwcsp.tk
发布者: C=CN, ST=AnHui, L=HeFei, O=Wondertek, OU=dev, CN=www.qwcsp.tk
序列号: 402e8569
有效期开始日期: Thu Jan 31 16:20:00 CST 2019, 截止日期: Sat Jan 07 16:20:00 CST 2119
证书指纹:
	 MD5: E0:C8:E8:BD:D2:D3:51:A4:26:E4:81:12:45:6F:5F:A0
	 SHA1: C3:84:47:CE:E2:9F:83:D0:26:B7:11:44:65:CB:B7:05:63:F5:4A:31
	 SHA256: DA:B8:2A:2D:7B:81:E6:54:C0:B7:C9:FA:19:98:13:9B:8D:03:26:56:CC:6E:CB:AA:97:C5:9E:33:8E:7A:61:F8
	 签名算法名称: SHA256withRSA
	 版本: 3

扩展:

#1: ObjectId: 2.5.29.14 Criticality=false
SubjectKeyIdentifier [
KeyIdentifier [
0000: 83 47 03 76 C8 8C D5 27   8A B1 68 46 62 A5 58 67  .G.v...'..hFb.Xg
0010: B6 65 9F D3                                        .e..
]
]

2.4、导出证书(公钥)

$ keytool -export -alias test -keystore keystore.jks -rfc -file keystore.cer -storepass foobar

存储在文件 <keystore.cer> 中的证书

查看证书：
keytool -printcert -v -file keystore.cer

2.5、从jks获取公钥内容

$ keytool -list -alias test -rfc --keystore keystore.jks -storepass foobar | openssl x509 -inform pem -pubkey

-----BEGIN PUBLIC KEY-----
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCXxEkuYcjnZyBecCKXkQz5263F
2EWWlOLtDd58S7k8TVPTdeq5nxRV+PqPCUdIKcaTXMNNq/jL+HumXTR9pgg6UsJT
/1BnDVPITYVuz0xgxE6Csqjw2436nPVFS7S1wx9EdDoxu7GfFcyY4usJLs0Duma0
Jka4RsiWLE9BQoiyFQIDAQAB
-----END PUBLIC KEY-----
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

3、tomcat配置https

修改 %tomcat%/conf/server.xml 文件，添加 keystoreFile 和 keystorePass 两行配置。其中，keystoreFile 指向 jks 证书文件，而 keystorePass 则为证书的密钥。修改后的关键配置如下：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true"
 maxThreads="150" scheme="https" secure="true"
 clientAuth="false" sslProtocol="TLS"
 keystoreFile="/home/test/keystore.jks"
 keystorePass="foobar"
/>