从私钥和CA证书包创建java密钥库

Question

我是新来配置Jetty服务器的SSL。我按照digcert的步骤创建了私钥文件、证书请求CSR文件。

我向CA发送了证书请求，并拿回了我签名的CSR。但是CA给我发了一个有两个证书的捆绑包，一个是我的证书，由CA签名，第二个是CA证书。（1star_xyx_abc_comcrt文件，2.CRT文件）。现在我面临着从这些文件创建密钥库的麻烦。

当我按照Oracle文档的步骤4、5和6使用keytool创建密钥库时，我遇到了一个错误

keytool error: java.lang.Exception: Certificate not imported, alias already exists. 

当我使用openssl创建pkcs12时，我得到了

Loading 'screen' into random state - done 
Error unable to get issuer certificate getting chain.

错误

如何从私钥文件生成KeyStore，我的证书由CA和CA证书签名？

Answer 1

我尝试从SSL发行版附加CA证书链和CACERT，并将结果用作CA证书链，结果成功了！

cat yourCACert.crt /etc/ssl/certs/ca-certificates.crt > fullCAChain.crt

openssl pkcs12 -export -chain -CAfile fullCAChain.crt -in customercert.cer -inkey customercert.key -out customercert.keystore -name tomcat

Answer 2

旁白：您有由CA签名的证书，但证书不是签名的CSR。证书中的一些数据与CSR中的一些数据相同，但不是全部。另外，我想知道为什么您遵循Apache/OpenSSL的digicert说明，而不是Tomcat/Java的说明，这会简单得多，因为Jetty也Java。

无论如何：只有在使用Java keytool生成privatekey和CSR时，Oracle页面上的说明才起作用，如步骤1、2、3所述。此外，步骤4和5 6是备选方案；虽然文本不是很清晰，但是你可以做一个或另一个，而不是两个都做——而且只有在做了1,2,3之后。

考虑到您现在的处境，您唯一的选择是将OpenSSL文件转换为pkcs12，然后可能使用keytool将pkcs12转换为JKS。（Java crypto本身可以直接使用pkcs12，但并非所有Java crypto应用程序都可以调用此选项，我不知道Jetty是否可以。）

你说你尝试过这个，但没有给出你所做的细节，但我猜你拥有的“Digicert CA”文件很可能是一个中间CA，而不是根，要获得一个完整的链，你需要添加根。（pkcs12格式实际上并不需要完整的链，因此openssl pkcs12子命令也是如此，但是对于Jetty这样的SSL/TLS来说是非常理想的，因此您应该这样做。）

首先检查您的（直接）CA是什么以及什么DigicertCA。crt带有

 openssl x509 -in $yourcert.crt -noout -issuer 
 openssl x509 -in DigicertCA.crt -noout -subject -issuer

如果您的证书的发行者与DigicertCA的主题相匹配，并且它们（两者）都包括类似“中间CA”或“SSL CA”的内容，并且DigicertCA的发行者具有“CN”，该“CN”是DigiCert保证ID根CA、DigiCert全球根CA中的任何一个或DigiCert高保证EV Root CA那么你很幸运，只要你（或其他人）没有从Java（JRE）安装中的默认cacerts中删除digicert root。使用keyool-exportcert将该digicert根从JRE/lib/Security/cacerts中的匹配条目复制到文件中。将您的私钥、证书、中间“DigicertCA”证书和适当的根证书连接到一个文件中，并将其提供给openssl pkcs12-导出[-名称任何内容]，并将输出导向一个文件，给出一个非空密码。

（其他情况：如果DigicertCA. crt实际上是一个根，并且与证书的发行者匹配，那将是非常奇怪的。如果它是一个根，并且与您的证书颁发者不匹配，您将错过中间的CA证书（甚至可能不止一个）；您应该能够从Digicert获得它（它们）。如果它（DigicertCA. crt）匹配您证书的发行者，并且不是根，但它的发行者不是上面提到的根之一，您将需要更多的证书为您的链，但没有更多的数据，我无法建议哪个。）

对于pkcs12文件，请执行以下操作：

keytool -importkeystore -srckeystore p12file -srcstoretype pkcs12 -destkeystore newjksfile

Answer 3

这里是我安装证书所遵循的步骤。

1.使用OPENSSL工具创建了一个包含三个文件（私钥文件、我的证书、CA证书）的PKCS12。

openssl pkcs12 -export -out j2vproject.pkcs12 -inkey my_privatekeyfile.key -in star_xyz_abc.crt -certfile DigiCertCA.crt

2.使用Keytool工具从PKCS12创建java密钥库。

keytool -v -importkeystore -srckeystore j2vproject.pkcs12 -srcstoretype PKCS12  -destkeystore j2vprojectkeystore.jks -deststoretype JKS

3.added这个密钥库到服务器，它的工作。