17

我想在java中创建证书链如下：

ca.mycompany.com
|--asia.mycompany.com
   |--india.mycompany.com

其中 ca.mycompany.com 是根证书（自签名）。

我知道这可以通过 OpenSSL 实现。但是有可能用keytool来实现吗？

如果没有，我可以使用 Mozilla NSS 库来实现这一点吗？

4

2 回答 2

29

keytool 文档中有一个示例说明了如何执行此操作：

keytool -genkeypair -keystore root.jks -alias root -ext bc:c
keytool -genkeypair -keystore ca.jks -alias ca -ext bc:c
keytool -genkeypair -keystore server.jks -alias server

keytool -keystore root.jks -alias root -exportcert -rfc > root.pem
keytool -storepass <storepass> -keystore ca.jks -certreq -alias ca | keytool -storepass <storepass> -keystore root.jks -gencert -alias root -ext BC=0 -rfc > ca.pem

cat root.pem ca.pem > cachain.pem
keytool -keystore ca.jks -importcert -alias ca -file cachain.pem

keytool -storepass <storepass> -keystore server.jks -certreq -alias server | keytool -storepass <storepass> -keystore ca.jks -gencert -alias ca -ext ku:c=dig,keyEncipherment -rfc > server.pem
cat root.pem ca.pem server.pem > serverchain.pem
keytool -keystore server.jks -importcert -alias server -file serverchain.pem

您还可以使用KeyStore Explorer轻松生成证书链：

  1. 创建一个新的密钥对，这意味着创建一个自签名证书（根 CA）。
  2. 右键单击根 CA 证书并选择“签署新密钥对”，这将创建子 CA 证书和密钥对。
  3. 右键单击子 CA 证书并再次选择“签署新密钥对”。

签署新证书

结果链：

在此处输入图像描述

于 2015-06-05T09:29:12.637 回答
5

这是一个完美的教程，可以帮助您完成使用 keytool 创建证书链的过程。基本上，该过程是您需要使用 CA 的密钥签署证书，然后将证书安装到您创建的密钥库中。

于 2015-12-23T09:12:27.110 回答