spring boot SSL和密钥存储证书安装

Question

我在配置spring boot tomcat SSL以使用Comodo EV证书时遇到问题。然而，这是我第一次这样做，所以很明显，我在某处犯了一些愚蠢的错误。如果有任何帮助，我会非常感激，因为我已经在这方面挣扎了好几天了...

所以，我的场景是这样的：

>

Java spring boot。

我创建了keystore2.jks，创建了CSR，并将其发送给了Comodo。我还导出了私钥，以防我搞砸了什么东西（我希望有可能将私钥导入到一个新的密钥存储库，以防我搞砸了整个密钥存储库。）

Comodo颁发了证书并发送了4个文件：

1.根CA证书-AddTrustExternalCaroot.crt 2.中间CA证书-ComoDorsaAddTrustca.crt 3.中间CA证书-ComoDorsaExtendedValidationSecureReserverca.crt 4.正EV SSL证书-mydomain_com.crt

按照他们的指示，我已经将所有4个导入到我的密钥库中：

keytool -import -trustcacerts -alias root -file  AddTrustExternalCARoot.crt -keystore KeyStore2.jks 
keytool -import -trustcacerts -alias intermediate -file COMODORSAAddTrustCA.crt -keystore KeyStore2.jks 
keytool -import -trustcacerts -alias intermediate2 -file COMODORSAExtendedValidationSecureServerCA.crt -keystore KeyStore2.jks 
keytool -import -trustcacerts -alias domain -file mydomain_com.crt -keystore KeyStore2.jks 

但是，在导入root之后，我得到了一个警告：

Certificate already exists in system-wide CA keystore under alias <addtrustexternalca>
Do you still want to add it to your own keystore? [no]:  yes

我在spring boot项目中将keystore2.jks移动到/src/main/resources。

我的spring boot应用程序.属性配置：

server.port=8443
server.ssl.key-store=classpath:KeyStore2.jks
server.ssl.key-store-password=mykeystorepass
server.ssl.keyStoreType=JKS
server.ssl.keyAlias=domain
server.ssl.key-password=mykeypass

然后我们开始：

java.lang.IllegalArgumentException: java.io.IOException: Alias name [domain] does not identify a key entry

我现在用试错的方法尝试了所有的东西，但什么也没有。如果我注释掉.properties中的最后两行：

server.ssl.keyAlias=domain
server.ssl.key-password=mykeypass

tomcat响应如下：

java.lang.IllegalArgumentException: java.security.KeyStoreException: Cannot store non-PrivateKeys

如果我使用keytool-list列出密钥库中的条目，这就是输出（省略指纹）：

root, Mar 10, 2018, trustedCertEntry, Certificate fingerprint (SHA1):...
domain, Mar 10, 2018, trustedCertEntry, Certificate fingerprint (SHA1): .....
intermediate, Mar 10, 2018, trustedCertEntry, Certificate fingerprint (SHA1): ....
intermediate2, Mar 10, 2018, trustedCertEntry, Certificate fingerprint (SHA1): ...

有没有可能cert没有与私钥或其他东西对齐？

怎么查？

别名命名有什么功能意义吗？

我对spring boot使用JKS还是PKCS12密钥存储格式有关系吗？

这是我第一次安装外部证书。我做了很多次没有任何问题的自签名证书，但这一次...请救命！提前道谢！

Answer 1

这里的问题是您的密钥库中没有PrivateKeyEntry。将所有证书添加为TrustedCertEntry。这意味着证书就在那里，并且如果您将此密钥存储库用作信任存储库，那么这些证书将是可信的，但是您的域证书私钥没有与证书一起正确添加。

据我所知，keytool不能做到这一点，但您可以使用openssl代替它，使用以下命令：

openssl pkcs12 -export -in my_domain.crt -inkey my_domain_key.key -out keystore.p12

这将创建一个PKCS12密钥存储库，将您的域证书作为PrivateKeyEntry。

之后，您可以像往常一样使用keytool添加其他证书，但我认为您不应该需要根证书。

出于好奇，你是怎么为自己签名的证书做的？这对那些人来说也是一个问题。

我不时遇到的另一个问题是应用程序无法读取私钥。这一直是由于密钥存储库和密钥本身具有不同的密码造成的。我看到您已经特别配置了密钥密码，所以这对您来说可能不是一个问题（我不知道您可以这样做）。

只要别名在密钥存储库中是唯一的，别名命名就不重要。

推荐使用PKCS12（即使是keytool本身）。PKCS12是开放标准，JKS是Java标准。

若要验证密钥存储库的设置是否正确，请像前面一样列出内容。它应该这样说（手工复制修改）：

root, Mar 10, 2018, trustedCertEntry, Certificate fingerprint (SHA1):...
domain, Mar 10, 2018, PrivateKeyEntry, Certificate fingerprint (SHA1): .....
intermediate, Mar 10, 2018, trustedCertEntry, Certificate fingerprint (SHA1): ....
intermediate2, Mar 10, 2018, trustedCertEntry, Certificate fingerprint (SHA1): ..

免责声明：我是自学的，最近也是，所以我不是专家。