使用密钥工具制作 CSR，如何为 tomcat ssl 制作证书？

Question

我的目标是使用 keytool 创建一个证书签名请求 (CSR)，然后获取该 CSR 并制作一个实际证书以添加到密钥库中，添加它，这样 SSL (HTTPS//my.site.com)将工作。这是出于测试目的。

到目前为止，我已经完成了以下步骤：

1. 为我的 CSR 生成密钥库：

   keytool -genkey -dname "CN=test.com, OU=TEST, O=Test, L=TestCity, ST=Florida, C=US" -alias tomcat -keyalg RSA -keysize 2048 -keystore test.keystore -商店通行证改变它

2. 生成 CSR：

   keytool -certreq -alias tomcat -file request.csr -keystore test.keystore -storepass changeit

3. 生成与 openSSL 一起使用的服务器密钥以创建签名证书。这需要密码“changeit”，然后进行转换以删除 server.key 的密码：

   openssl genrsa -des3 -out server.key 2048

   cp server.key server.key.org

   openssl rsa -in server.key.org -out server.key

4. 使用 CSR 生成我的签名证书：

   openssl x509 -req -days 365 -in request.csr -signkey server.key -out server.crt

5. 最后，将证书导入我的密钥库。

   keytool -import -trustcacerts -file server.crt -keystore test.keystore -alias tomcat -storepass changeit

结果如下错误：

keytool 错误：java.lang.Exception：回复中的公钥和密钥库不匹配

Answer 1

我不确定以下是否正确，但它似乎有效。将各个网站的一些步骤拼凑在一起，执行这些命令会生成一个密钥库，该密钥库适用于通过 tomcat 进行的 SSL 连接。它可以将各个部分分开，让我可以测试我的系统的每一部分。

1. 生成密钥库

keytool -genkey -dname "CN=test.com, OU=TEST, O=Test, L=TestCity, ST=Florida, C=US" -alias tomcat -keyalg RSA -keysize 2048 -keystore test.keystore -商店通行证改变它

1. 生成 CSR

keytool -certreq -alias tomcat -file request.csr -keystore test.keystore -storepass changeit

1. 从我的密钥库中导出私钥以用于创建签名证书

keytool -v -importkeystore -srckeystore test.keystore -srcalias tomcat -destkeystore myp12file.p12 -deststoretype PKCS12

openssl pkcs12 -in myp12file.p12 -out server.key

4. 从 CSR 创建签名证书

openssl x509 -req -days 365 -in request.csr -signkey server.key -out server.crt

5. 最后导入keystore，成功

keytool -import -trustcacerts -file server.crt -keystore test.keystore -alias tomcat -storepass changeit

Answer 2

keytool -genkey -dname "CN=test.com, OU=TEST, O=Test, L=TestCity, ST=Florida, C=US" -alias tomcat

这不仅仅是生成一个密钥对，它还使用这个 DN 生成一个自签名证书，然后将其用作生成具有 -certreq 的 CSR 的基础（听起来可能很奇怪，但自签名cert 和 PKCS#10 CSR 实际上非常相似：CSR 或多或少是一个没有有效性时间戳的自签名证书。

这是在documentation:

-genkeypair

[...]

生成一个密钥对（一个公钥和相关联的 私钥）。将公钥包装成 X.509 v3 自签名 证书，存储为单元素证书链。 此证书链和私钥存储在一个新的 由别名标识的密钥库条目。

[...] 此命令在早期版本中被命名为 -genkey。

在向 CA 提交 CSR 时，您通常会做的是将 CA 颁发的证书重新导入到同一个别名（您的私钥所在的位置），从而覆盖该临时自签名证书。

您可以跳过使用keytool -certreq 和openssl 的步骤：只需使用keytool 导出证书，并在必要时将其重新导入单独的信任库以供Java 客户端使用。

---

如果你想模拟一个 CA，openssl x509 不是你应该使用的命令：

openssl x509 -req -days 365 -in request.csr -signkey server.key -out server.crt

正如documentation for openssl x509 -signkey 所说：

-signkey filename

此选项使输入文件使用提供的私钥进行自签名。

如果输入文件是证书，它将颁发者名称设置为主题名称（即使其自签名）将公钥更改为 提供的值并更改开始和结束日期。开始日期是 设置为当前时间，结束日期设置为确定的值 通过 -days 选项。保留任何证书扩展，除非 提供了 -clrext 选项。

如果输入是证书请求，则使用提供的私钥创建自签名证书，使用 请求中的主题名称。

所以，本质上，公钥材料也来自这个私钥。因此，它将与您提供的 CSR 中的公钥不匹配。在这种情况下，CSR 仅用于提供证书的身份信息和属性。

确实，将 CSR 转换为证书是可以包含许多参数的东西。虽然keytool 根据您提供的参数生成合理的默认自签名证书，但 OpenSSL 通常需要更多配置。对于您正在尝试做的事情，openssl ca 肯定会更相关，尽管为了方便起见我建议使用 CA.pl 包装器（它将跟踪您颁发的证书、序列号等） .

由于这似乎主要用于测试，可能是偶尔进行，您还可以找到其他工具（如 xca）更方便地执行该步骤。

Answer 3

以下过程描述了创建与 JBoss 5.0 应用服务器完美配合的 JKS 密钥库。 Tomcat 可能使用相同类型的密钥库。

创建私钥和证书签名请求

您可以借助 openssl 实用程序在 Linux 操作系统中创建私钥。

设置umask为077，这样创建的文件就只能被当前用户读取：

$ OLD_UMASK=`umask`   (umask is inside backtick characters)
$ umask 077

创建一个 2048 位长度的私钥并将其存储在文件 private_key.pem 中：

$ openssl genrsa 2048 > private_key.pem

恢复文件创建掩码：

$ umask $OLD_MASK

您可以使用以下命令创建证书签名请求 (CSR)：

$ openssl req -new -key private_key.pem -nodes

接下来，您将不得不回答各种问题。请特别注意 Common Name 字段，该字段必须与您的服务器的 Fully Qualified Domain Name 匹配。该命令生成以下包含 CSR 的文本：

-----开始证书请求--

MIIBZYnPGQZK06tI6EKLGp7qmaFAIAe ...

....

-----结束证书请求-----

生成链证书

该过程假定您拥有 (a) 文件 private_key.pem 中的私钥，(b) 您从文件 certificate.pem 中的证书颁发机构 (CA) 收到的数字证书和 (c) 链证书证明文件ca_chain_cert.pem中的CA。

如果您的 CA 由另一个权威 CA1 认证，该权威 CA1 最终由根 CA CA_ROOT (CA -> CA1 -> CA_ROOT) 认证，并且各自的证书在单独的文件中可用 ca_cert.pem、ca1_cert.pem 和 @分别为987654331@，可以通过命令创建ca_chain_cert.pem：

$ cat ca_cert.pem ca1_cert.pem ca_root.pem > ca_chain_cert.pem

将certificate.pem与ca_chain_cert.pem结合生成链证书：

$ cat certificate.pem ca_chain_cert.pem > chain.pem

这个概念是你必须有一个包含订单所有证书的文件：

1. 主机证书
2. CA 证书
3. CA1 证书
4. 根 CA 证书

生成 JKS 密钥库

此步骤假定文件 chain.pem 包含证书链、private_key.pem 私钥和 certificate.pem 您从 CA 收到的服务器证书（链的第一部分）。

使用以下命令从证书链和私钥在文件 keystore.p12 中创建 PKCS12 密钥库：

$ openssl pkcs12 -export -name server_cert -in chain.pem -inkey private_key.pem -certfile certificate.pem -out keystore.p12

记下导出密码，因为它将在以下所有步骤中用于访问密钥库。

从 PKCS12 密钥库在文件 server.keystore 中创建 JKS 密钥库：

$ keytool -importkeystore -destkeystore server.keystore -srckeystore keystore.p12 -srcstoretype pkcs12 -alias server_cert

您可以使用以下命令列出证书：

$ keytool -list -v -keystore server.keystore

验证命令输出说明证书链的正确大小。对于 CA、CA1 和 CA_ROOT，大小必须为 4。