使用KeyTool命令將PKCS7（連鎖證書）導入JKS

Question

我有一個CA頒發的PKCS＃7格式的CERT。它有證書（鏈接）。 Keytool不識別PKCS7格式。我嘗試過使用OpenSSL工具將PKCS7格式的證書轉換爲PEM格式，並且失敗。我收到一條錯誤消息「無法加載PKCS7對象」。

如何將PKCS7證書鏈導入到我的JKS？

Answer 1

正如可以在keytool reference用於讀-importcert命令：

從文件cert_file中的證書或證書鏈（其中後者在PKCS＃7格式化答覆提供） ，並將其存儲在由別名標識的密鑰庫條目中。如果沒有給出文件，則從標準輸入讀取證書或PKCS＃7回覆。

keytool可以導入X.509 v1，v2和v3證書以及包含該類型證書的PKCS＃7格式的證書鏈。

嘗試按原樣導入PKCS7證書。

雖然，它並不總是工作。如果您有問題，儘量做到以下（使用OpenSSL）：

1. 打印所有的證書包含一個PEM文件

   OpenSSL> pkcs7 -in initial_file.p7b -inform DER -print_certs -outform PEM -out certs_chain.pem

2. 打開新的PEM文件（certs_chain .pem），並刪除-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----邊界以外的所有內容（僅保留邊界內的編碼內容，證書本身）並保存。

現在密鑰工具應該不會有問題，導入您的證書，使用certs_chain.pem作爲cert_file

Answer 2

另一種方法是使用IE瀏覽器創建的X.509證書。你可以在我的文章中找到在WLS和IIS之間執行SSL的步驟http://techblog.fywservices.com/2012/10/establishing-weblogic-server-https-trust-of-iis-using-a-microsoft-local-certificate-authority/