如何使用keytool創建證書鏈？

Question

我想在Java創建證書鏈如下：

ca.mycompany.com 
|--asia.mycompany.com 
    |--india.mycompany.com 

其中ca.mycompany.com是根證書（自簽名）。

我知道這是可能的OpenSSL。但是有可能通過keytool來實現這一點嗎？

如果不是，我可以通過Mozilla NSS庫實現嗎？

Answer 1

有一個在keytool documentation，顯示如何做到這一點的例子：

keytool -genkeypair -keystore root.jks -alias root -ext bc:c 
keytool -genkeypair -keystore ca.jks -alias ca -ext bc:c 
keytool -genkeypair -keystore server.jks -alias server 

keytool -keystore root.jks -alias root -exportcert -rfc > root.pem 
keytool -storepass <storepass> -keystore ca.jks -certreq -alias ca | keytool -storepass <storepass> -keystore root.jks -gencert -alias root -ext BC=0 -rfc > ca.pem 

cat root.pem ca.pem > cachain.pem 
keytool -keystore ca.jks -importcert -alias ca -file cachain.pem 

keytool -storepass <storepass> -keystore server.jks -certreq -alias server | keytool -storepass <storepass> -keystore ca.jks -gencert -alias ca -ext ku:c=dig,keyEncipherment -rfc > server.pem 
cat root.pem ca.pem server.pem > serverchain.pem 
keytool -keystore server.jks -importcert -alias server -file serverchain.pem 

您還可以KeyStore Explorer生成證書鏈很容易：

1. 創建一個新的密鑰對，這意味着創建一個自簽名證書（根CA）。
2. 右鍵單擊根CA證書並選擇「簽署新密鑰對」，這將創建子CA證書和密鑰對。
3. 右鍵單擊子CA證書並再次選擇「簽署新密鑰對」。

產生的鏈條：

Answer 2

這是一個完美的教程，幫助你去的，雖然在creating certificate chain using keytool過程。基本上，您需要使用來自CA的密鑰對證書進行簽名，然後將證書安裝到您創建的密鑰庫中。