11.12.2. 生成 SSL 密钥和证书

过程 11.40. 生成 SSL 密钥和证书

1. 用公共和私有密钥生成密钥库。

   运行下列命令来当前目录里生成带有别名 jboss 的名为server.keystore 的密钥库。

   keytool -genkeypair -alias jboss -keyalg RSA -keystore server.keystore -storepass mykeystorepass --dname "CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,S=NC,C=US"

   下表描述了用于 keytool 命令的参数：

   参数	描述
   -genkeypair	keytool 命令生成包含公共和私有密钥的密钥对。
   -alias	密钥库的别名。这个值是任意的，但别名 jboss 是 JBoss Web 服务器使用的默认值。
   -keyalg	密钥对的生成算法。这个例子里是 RSA。
   -keystore	密钥库文件的名称和位置。默认的位置是当前的目录。你可以选择任意名字。在这个例子里是 server.keystore。
   -storepass	这个密码用于针对密钥库进行验证，从而读取密钥。这个密码长度必须至少为 6 且在访问时密钥库时提供。在这个例子里，我们使用 mykeystorepass。如果你忽略这个参数，在执行命令时你将被提示输入它。
   -keypass	这是实际密钥的密码。 注意 由于实现的限制，它必须和库的密码相同。
   --dname	引号括起的描述密钥的可区分名称的字符串，如"CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,C=US"。这个字符串是下列组件的组合： CN - 常用名或主机名。如果主机名是 "jsmith.mycompany.com"，那么 CN 就是 "jsmith"。 OU - 机构单元，如 "Engineering"。 O - 机构名称，如 "mycompany.com"。 L - 地区，如 "Raleigh" 或 "London"。 S - 州或省，如 "NC"。这个参数是可选的。 C - 两个字符的国家代码，如 "US" 或 "UK"。

   当你执行上述命令时，你会被提示输入下列信息：

   • 如果你在命令行没有使用 -storepass 参数，你会被要求输入密钥库的密码。在下一次提示时再次输入新密码。
   • 如果你在命令行没有使用 -keypass 参数，你会被要求输入密钥密码。按 Enter 将其设置为和密钥密码相同的值。
   当命令执行完毕时，server.keystore 文件包含了带有别名 jboss 的单个密钥。

2. 检验这个密钥。

   通过下列命令检验这个密钥是否正常工作。

   keytool -list -keystore server.keystore

   你会被提示输入密钥库密码。密钥库的内容将被显示（这个例子里是名为 jboss 的单个密钥）。请注意 jboss 密钥的类型是 keyEntry。这表示密钥库包含这个密钥的公共和私有条目。

3. 生成一个证书签名请求。

   运行下列命令使用步骤一里创建的密钥库里的公共密钥来生成一个证书签名请求。

   keytool -certreq -keyalg RSA -alias jboss -keystore server.keystore -file certreq.csr

   系统会提示你输入密码以针对密钥库进行验证。然后 keytool 命令将在当前工作目录里创建一个名为 certreq.csr 的证书签名请求。

4. 测试新生成的证书签名请求。

   通过下列命令测试证书的内容。

   openssl req -in certreq.csr -noout -text

   证书细节将被显示。

5. 可选：提交证书签名请求到证书认证机构（CA）。

   证书机构（Certificate Authority，CA）可以验证你的证书，它被第三方的客户认为是可靠的。CA 向你提供一个签名的证书，还有一个或多个可选的中间证书。

6. 可选：从密钥库导出自签名的证书

   如果你只需要用来进行测试或内部使用，你可以使用自签名的证书。你可以从密钥库导出在步骤一创建的证书：

   keytool -export -alias jboss -keystore server.keystore -file server.crt

   系统会提示你输入密码以针对密钥库进行验证。名为 server.crt 的自签名的证书将在当前工作目录里创建。

7. 导入已签名的证书以及任何中间的证书。

   按照 CA 里说明的顺序导入每个证书。对于每个要导入的证书，请用实际的文件名替换 intermediate.ca 或 server.crt。如果你的证书未作为独立的文件提供，请为每个证书创建一个独立的文件，并将其内容粘贴到文件里。

   注意

   你的已签名的证书和密钥都是有价值的资产。请小心地在服务器间传递。

   keytool -import -keystore server.keystore -alias intermediateCA -file intermediate.ca

   keytool -importcert -alias jboss -keystore server.keystore -file server.crt

8. 测试你的证书是否已经成功导入。

   运行下列命令，遇提示时输入密钥库密码。密钥库的内容将被显示，证书将是列表里的一部分。

   keytool -list -keystore server.keystore