-genkey      在用戶(hù)主目錄中創(chuàng)建一個(gè)默認(rèn)文件".keystore",還會(huì)產(chǎn)生一個(gè)mykey的別名，mykey中包含用戶(hù)的公鑰、私鑰和證書(shū)
-alias       產(chǎn)生別名
-keystore    指定密鑰庫(kù)的名稱(chēng)(產(chǎn)生的各類(lèi)信息將不在.keystore文件中
-keyalg      指定密鑰的算法   
-validity    指定創(chuàng)建的證書(shū)有效期多少天
-keysize     指定密鑰長(zhǎng)度
-storepass   指定密鑰庫(kù)的密碼
-keypass     指定別名條目的密碼
-dname       指定證書(shū)擁有者信息 例如：  "CN=sagely,OU=atr,O=szu,L=sz,ST=gd,C=cn"
-list        顯示密鑰庫(kù)中的證書(shū)信息      keytool -list -v -keystore sage -storepass ....
-v           顯示密鑰庫(kù)中的證書(shū)詳細(xì)信息
-export      將別名指定的證書(shū)導(dǎo)出到文件  keytool -export -alias caroot -file caroot.crt
-file        參數(shù)指定導(dǎo)出到文件的文件名
-delete      刪除密鑰庫(kù)中某條目          keytool -delete -alias sage -keystore sage
-keypasswd   修改密鑰庫(kù)中指定條目口令    keytool -keypasswd -alias sage -keypass .... -new .... -storepass ... -keystore sage
-import      將已簽名數(shù)字證書(shū)導(dǎo)入密鑰庫(kù)  keytool -import -alias sage -keystore sagely -file sagely.crt
             導(dǎo)入已簽名數(shù)字證書(shū)用keytool -list -v 以后可以明顯發(fā)現(xiàn)多了認(rèn)證鏈長(zhǎng)度，并且把整個(gè)CA鏈全部打印出來(lái)。

keytool JAVA是個(gè)密鑰和證書(shū)管理工具。它使用戶(hù)能夠管理自己的公鑰/私鑰對(duì)及相關(guān)證書(shū)，用于（通過(guò)數(shù)字簽名）自我認(rèn)證（用戶(hù)向別的用戶(hù)/服務(wù)認(rèn)證自己）或數(shù)據(jù)完整性以及認(rèn)證服務(wù)。它還允許用戶(hù)儲(chǔ)存他們的通信對(duì)等者的公鑰（以證書(shū)形式）。通過(guò)keytool –help查看其用法，詳細(xì)信息可以參考http: //java.sun.com/j2se/1.5.0/docs/tooldocs/solaris/keytool.html

創(chuàng)建證書(shū)Java 中的 keytool.exe （位于 JDK/Bin 目錄下）可以用來(lái)創(chuàng)建數(shù)字證書(shū)，所有的數(shù)字證書(shū)是以一條一條(采用別名區(qū)別)的形式存入證書(shū)庫(kù)的中，證書(shū)庫(kù)中的一條證書(shū)包含該條證書(shū)的私鑰，公鑰和對(duì)應(yīng)的數(shù)字證書(shū)的信息。證書(shū)庫(kù)中的一條證書(shū)可以導(dǎo)出數(shù)字證書(shū)文件，數(shù)字證書(shū)文件只包括主體信息和對(duì)應(yīng)的公鑰。
每一個(gè)證書(shū)庫(kù)是一個(gè)文件組成，它有訪(fǎng)問(wèn)密碼，在首次創(chuàng)建時(shí)，它會(huì)自動(dòng)生成證書(shū)庫(kù)，并要求指定訪(fǎng)問(wèn)證書(shū)庫(kù)的密碼。
在創(chuàng)建證書(shū)的的時(shí)候，需要填寫(xiě)證書(shū)的一些信息和證書(shū)對(duì)應(yīng)的私鑰密碼。這些信息包括 CN=xx,OU=xx,O=xx,L=xx,ST=xx,C=xx，它們的意思是：
? CN（Common Name - 名字與姓氏）：其實(shí)這個(gè)“名字與姓氏”應(yīng)該是域名，比如說(shuō)localhost或是blog.devep.net之類(lèi)的。輸成了姓名，和真正運(yùn)行的時(shí)候域名不符，會(huì)出問(wèn)題。瀏覽器訪(fǎng)問(wèn)時(shí)，彈出一個(gè)對(duì)話(huà)框，提示“安全證書(shū)上的名稱(chēng)無(wú)效，或者與站點(diǎn)名稱(chēng)不匹配”，用戶(hù)選擇繼續(xù)還是可以瀏覽網(wǎng)頁(yè)。但是用http client寫(xiě)程序訪(fǎng)問(wèn)的時(shí)候，會(huì)拋出類(lèi)似于“javax.servlet.ServletException: HTTPS hostname wrong: should be ”的異常。
? OU（Organization Unit - 組織單位名稱(chēng)）
? O（Organization - 組織名稱(chēng)）
? L（Locality - 城市或區(qū)域名稱(chēng)）
? ST（State - 州或省份名稱(chēng)）
? C（Country - 國(guó)家名稱(chēng)）
可以采用交互式讓工具提示輸入以上信息，也可以采用參數(shù)，如：-dname “CN=xx,OU=xx,O=xx,L=xx,ST=xx,C=xx”來(lái)自動(dòng)創(chuàng)建。

創(chuàng)建一個(gè)證書(shū)
指定證書(shū)庫(kù)為 D:/keystore/test，創(chuàng)建別名為 Tomcat 的一條證書(shū)，它指定用 RSA 算法生成，且指定密鑰長(zhǎng)度為 1024，證書(shū)有效期為 1 年：
keytool -genkey -alias Tomcat -keyalg RSA -keysize 1024 -keystore C:/keystore/test -validity 365
顯示證書(shū)庫(kù)中的證書(shū)使用如下命令： keytool -list -keystore C:/keystore/test 將顯示 C:/keystore/test 證書(shū)庫(kù)的的所有證書(shū)列表

導(dǎo)出到證書(shū)文件
使用命令：keytool -export -alias Tomcat -file C:/keystore/TC.cer -keystore C:/keystore/test 將把證書(shū)庫(kù)C:/keystore/test 中的別名為 Tomcat 的證書(shū)導(dǎo)出到 TC.cer 證書(shū)文件中，它包含證書(shū)主體的信息及證書(shū)的公鑰，不包括私鑰，可以公開(kāi)。
導(dǎo)出的證書(shū)文件是以二進(jìn)制編碼文件，無(wú)法用文本編輯器正確顯示，可以加上 -rfc參數(shù)以一種可打印的編者編碼輸出。 如：
keytool -export -alias Tomcat -file C:/keystore/TC.cer -keystore C:/keystore/test –rfc

查看證書(shū)的信息
通過(guò)命令: keytool -printcert -file D:/keystore/TC.cer 可以查看證書(shū)文件的信息。 也可以在 Windows 資源管理器中雙擊產(chǎn)生的證書(shū)文件直接查看。

刪除密鑰庫(kù)中的條目
keytool -delete -alias Tomcat -keystore C:/keystore/test
這條命令將 C:/keystore/test 庫(kù)中的 Tomcat 這一條證書(shū)刪除了。

修改證書(shū)條目口令
keytool -keypasswd -alias Tomcat -keystore C:/keystore/test，可以以交互的方式修改 C:/keystore/test 證書(shū)庫(kù)中的條目為 Tomcat 的證書(shū)。
Keytool -keypasswd -alias Tomcat -keypass oldpasswd -new newpasswd -storepass storepasswd -keystore C:/keystore/test 這一行命令以非交互式的方式修改庫(kù)中別名為 Tomcat 的證書(shū)的密碼為新密碼 newpasswd，行中的 oldpasswd 是指該條證書(shū)的原密碼， storepasswd 是指證書(shū)庫(kù)的密碼。

最新評(píng)論