keytool创建SSL证书和密钥

Keytool

用JDK自带的keytool工具生成证书；如果以后真正在产品环境中使用肯定要去证书提供商去购买
Keytool 是一个Java数据证书的管理工具 ,Keytool将密钥（key）和证书（certificates）存在一个称为keystore的文件中在keystore里，包含两种数据:密钥实体（Key entity）-密钥（secret key）或者是私钥和配对公钥（采用非对称加密）可信任的证书实体（trusted certificate entries）-只包含公钥.
JDK中keytool常用参数说明（不同版本有差异，可参见官方文档）:
使用keytool命令生成证书：

•	-genkey 在用户主目录中创建一个默认文件”.keystore”,还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书(在没有指定生成位置的情况下,keystore会存在用户系统默认目录)
      注：-genkey可以写成-genkeypair 
•	-alias 产生别名 每个keystore都关联这一个独一无二的alias，这个alias通常不区分大小写
•	-keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中)
•	-keyalg 指定密钥的算法 (如 RSA DSA，默认值为：DSA)
•	-validity 指定创建的证书有效期多少天(默认 90)
•	-keysize 指定密钥长度 （默认 1024）
•	-storepass 指定密钥库的密码(获取keystore信息所需的密码)
•	-keypass 指定别名条目的密码(私钥的密码)
•	-dname 指定证书发行者信息 其中： “CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名 称,ST=州或省份名称,C=单位的两字母国家代码”
•	-list 显示密钥库中的证书信息 keytool -list -v -keystore 指定keystore -storepass 密码
•	-v 显示密钥库中的证书详细信息
•	-export 将别名指定的证书导出到文件 keytool -export -alias 需要导出的别名 -keystore 指定keystore -file 指定导出的证书位置及证书名称 -storepass 密码
•	-file 参数指定导出到文件的文件名
•	-delete 删除密钥库中某条目 keytool -delete -alias 指定需删除的别 -keystore 指定keystore – storepass 密码
•	-printcert 查看导出的证书信息 keytool -printcert -file g:\sso\michael.crt
•	-keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias 需修改的别名 -keypass 旧密码 -new 新密码 -storepass keystore密码 -keystore sage
•	-storepasswd 修改keystore口令 keytool -storepasswd -keystore g:\sso\michael.keystore(需修改口令的keystore) -storepass pwdold(原始密码) -new pwdnew(新密码)
•	-import 将已签名数字证书导入密钥库 keytool -import -alias 指定导入条目的别名 -keystore 指定keystore -file 需导入的证书
•	dname的值详解： 
　　CN(Common Name名字与姓氏) 
　　OU(Organization Unit组织单位名称) 
　　O(Organization组织名称) 
　　L(Locality城市或区域名称) 
　　ST(State州或省份名称) 
　　C(Country国家名称） 

第一步：为服务器生成证书

命令：

keytool -genkey -alias test -keypass 123456 -keyalg RSA -keysize 1024
-validity 3650 -keystore D:/keys/test.keystore -storepass 123456

标红为域名（重要）
可以一步到位：

keytool -genkey -alias test -keypass 123456 -dname
“CN=www.test.com,OU=LIULI,O=LIULI,L=BJ,ST=BJ,C=CN” -keyalg RSA
-keysize 1024 -validity 3650 -keystore D:\keys\test.keystore -storepass 123456

第二步：为客户端生成证书

keytool -genkey -alias client -keypass 123456 -keyalg RSA -keysize
1024 -validity 3650 -storetype PKCS12 -keystore D:/keys/client.p12
-storepass 123456

标红为域名（重要）
可以一步到位：

keytool -genkey -alias client -keypass 123456 -dname
“CN=www.test.com,OU=LIULI,O=LIULI,L=BJ,ST=BJ,C=CN” -keyalg RSA
-keysize 1024 -validity 3650 -keystore D:/keys/client.p12 -storepass 123456

第三步：让服务器信任客户端证书

1. 把客户端证书导出为一个单独的CER文件

keytool -export -alias client -keystore D:/keys/client.p12 -storetype
PKCS12 -keypass 123456 -file D:/keys/client.cer

2. 将该文件导入到服务器的证书库，添加为一个信任证书：

keytool -import -v -file D:/keys/client.cer -keystore
D:/keys/test.keystore

第四步：让客户端信任服务器证书

由于是双向SSL认证，客户端也要验证服务器证书

keytool -keystore D:/keys/test.keystore -export -alias test -file
D:/keys/server.cer

双击server.cer文件，按照提示安装证书，将证书填入到“受信任的根证书颁发机构”。
填入方法：
打开浏览器 - 工具 - internet选项-内容- 证书-把中级证书颁发机构里的www.test.com(该名称即时你前面生成证书时填写的名字与姓氏)证书导出来-再把导出来的证书导入 受信任的根颁发机构

第五步：密钥库文件

接下来就是把上面生成的服务器的证书server.cer导入到cacerts密钥库文件中(后面的客户端会用到这些)

keytool -import -trustcacerts -alias test -storepass 123456 -file
D:/keys/server.cer -keystore D:/keys/cacerts

第六步：配置Tomcat服务器

<Connector  port="8443"
protocol="org.apache.coyote.http11.Http11NioProtocol" SSLEnabled="true"
maxThreads="150"
scheme="https"
secure="true"
clientAuth="true"
sslProtocol="TLS"
keystoreFile="D:/keys/tomcat.keystore"
keystorePass="123456"
truststoreFile="D:/keys/tomcat.keystore"
truststorePass="123456" />

属性说明： clientAuth:设置是否双向验证，默认为false，设置为true代表双向验证
keystoreFile:服务器证书文件路径 keystorePass:服务器证书密码
truststoreFile:用来验证客户端证书的根证书，此例中就是服务器证书 truststorePass:根证书密码 注意： ①
设置clientAuth属性为True时，需要手动导入客户端证书才能访问。

生成数据参考：https://github.com/472732787/ssl/tree/master/keys(java创建SSL证书和密钥)