Java 工具集教程

keytool.exe 管理密钥库和证书

keytool 是 Java 开发工具包（JDK）中的一个命令行工具，用于管理密钥库（keystore）和证书。它可以用于生成密钥对、创建数字证书请求（CSR）、导入/导出证书和私钥等操作。

直接打开终端，输入 keytool 命令查看命令的帮助信息，如下图：

be28a4b72094ebea4957664018604823_1719812699211-125ed0d5-4843-4063-93e2-b30a01120e2d.png

上图中，keytool 返回了很多子命令，每个子命令还包含属于自己的选项，可以通过“keytool 子命令 -help”的方式获取具体子命令的帮助信息，例如：

# 查看 -certreq 子命令帮助信息
keytool -certreq -help

keytool -genkeypair 命令

keytool -genkeypair 用于生成密钥对。支持的选项如下：

  • -alias <alias>  要处理的条目的别名

  • -keyalg <keyalg>  密钥算法名称

  • -keysize <keysize>  密钥位大小

  • -sigalg <sigalg>  签名算法名称

  • -destalias <destalias>  目标别名

  • -dname <dname>  唯一判别名

  • -startdate <startdate>  证书有效期开始日期/时间

  • -ext <value>  X.509 扩展

  • -validity <valDays>  有效天数

  • -keypass <arg>  密钥口令

  • -keystore <keystore>  密钥库名称

  • -storepass <arg>  密钥库口令

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

  • -protected  通过受保护的机制的口令

示例：

（1）该示例将生成一个别名为 mykey 的密钥对，并将其存储在名为 keystore.jks 的密钥库中。例如：

keytool -genkeypair -alias mykey -keyalg RSA -keystore keystore.jks

参数说明：

  • -alias mykey ：为生成的密钥对指定一个别名，这里是 mykey ，方便后续引用。

  • -keyalg RSA：指定密钥算法为 RSA 。

  • -keystore keystore.jks：指定生成的密钥库文件的名称。

执行上述命令如下：

C:\Users\Administrator> keytool -genkeypair -alias mykey -keyalg RSA -keystore keystore.jks
输入密钥库口令:
再次输入新口令:
您的名字与姓氏是什么?
  [Unknown]:  hxstrive.com
您的组织单位名称是什么?
  [Unknown]:  IT
您的组织名称是什么?
  [Unknown]:  hxstrive
您所在的城市或区域名称是什么?
  [Unknown]:  ChengDu
您所在的省/市/自治区名称是什么?
  [Unknown]:  SiChuan
该单位的双字母国家/地区代码是什么?
  [Unknown]:  CN
CN=hxstrive.com, OU=IT, O=hxstrive, L=ChengDu, ST=SiChuan, C=CN是否正确?
  [否]:  Y

输入 <mykey> 的密钥口令
        (如果和密钥库口令相同, 按回车):
再次输入新口令:

Warning:
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

注意，执行上述命令需要用户输入很多信息，如果一个信息输入错误，需要重头再来，我们可以尝试将这些信息直接放入到命令中。

（2）该示例将把创建密钥对的信息放入到命令行，避免命令执行过程中输入过多的信息。例如：

keytool -genkeypair -alias myKeyPair -keyalg RSA -keysize 2048 -validity 3650 -storetype JKS -keystore myKeystore.jks -storepass 123456 -dname "CN=hxstrive.com, OU=IT, O=hxstrive, L=ChengDu, ST=SiChuan, C=CN"

参数说明：

  • -alias myKeyPair：为生成的密钥对指定一个别名，这里是 myKeyPair，方便后续引用。

  • -keyalg RSA：指定密钥算法为 RSA 。

  • -keysize 2048：指定密钥长度为 2048 位，增强安全性。

  • -validity 3650：证书的有效期为 3650 天。

  • -storetype JKS：指定密钥库的类型为 JKS 。

  • -keystore myKeystore.jks：指定生成的密钥库文件的名称。

  • -storepass 123456：设置密钥库的密码。

  • -dname "CN=hxstrive.com, OU=IT, O=hxstrive, L=ChengDu, ST=SiChuan, C=CN"：指定证书的主题信息，包括通用名称（CN）、组织单元（OU）、组织（O）、城市（L）、州/省（ST）和国家（C）。

执行上述命令如下：

C:\Users\Administrator>keytool -genkeypair -alias myKeyPair -keyalg RSA -keysize 2048 -validity 3650 -storetype JKS -keystore myKeystore.jks -storepass 123456 -dname "CN=hxstrive.com, OU=IT, O=hxstrive, L=ChengDu, ST=SiChuan, C=CN"
输入 <myKeyPair> 的密钥口令
        (如果和密钥库口令相同, 按回车):
再次输入新口令:

Warning:
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore myKeystore.jks -destkeystore myKeystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

keytool -certreq 命令

keytool -certreq 用于生成证书请求，该命令支持的选项如下：

  • -alias <alias>  要处理的条目的别名

  • -sigalg <sigalg>  签名算法名称

  • -file <filename>  输出文件名

  • -keypass <arg>  密钥口令

  • -keystore <keystore>  密钥库名称

  • -dname <dname>  唯一判别名

  • -storepass <arg>  密钥库口令

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

  • -protected  通过受保护的机制的口令

示例：

（1）该示例将为 mykey 密钥对创建一个证书请求，并将其存储在名为 mykey.csr 的文件中。例如：

keytool -certreq -alias mykey -keystore keystore.jks -file mykey.csr

参数说明：

  • -alias mykey  指定密钥对的别名，这里是 mykey。

  • -keystore keystore.jks  指定密钥库文件为 keystore.jks。

  • -file mykey.csr  指定证书文件名，这里是 mykey.csr。

执行上述命令如下：

C:\Users\Administrator> keytool -certreq -alias mykey -keystore keystore.jks -file mykey.csr
输入密钥库口令:

Warning:
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

注意：上述命令中的 keystore.jks 文件是提前通过 keytool -genkeypair 命令创建的密钥库。如果 keystore.jks 不存在，将输出如下错误信息：

C:\Users\Administrator> keytool -certreq -alias mykey -keystore keystore.jks -file mykey.csr
keytool 错误: java.lang.Exception: 密钥库文件不存在: keystore.jks

（2）该示例将更多生成证书的信息通过参数进行指定，避免过多的输入。例如：

keytool -certreq -alias mykey -sigalg SHA256withRSA -file mykey.csr -keypass 123456 -keystore keystore.jks -dname "CN=hxstrive.com,OU=IT,O=hxstrive,L=ChengDu,ST=SiChuan,C=CN" -storepass 123456

参数说明：

  • -alias mykey  指定密钥对的别名，这里是 mykey。

  • -sigalg SHA256withRSA  指定签名算法，这里是 SHA256withRSA。

  • -file mykey.csr  指定生成的证书请求文件的名称，这里是  myCertReq.csr。

  • -keypass 123456  指定密钥口令，这里是 123456。

  • -keystore keystore.jks  指定密钥库名称，这里是 keystore.jks。

  • -dname "CN=hxstrive.com,OU=IT,O=hxstrive,L=ChengDu,ST=SiChuan,C=CN"  指定证书信息，具体信息需要根据实际情况填写，如个人或组织的名称、城市、州/省、国家等。生成的证书请求文件（.csr 文件）通常会提交给证书颁发机构（CA），以获取由 CA 签名的数字证书。CA 会验证请求中的信息，并根据其策略和流程颁发相应的证书。获得签名后的证书后，可以使用 importcert 命令将其导入到密钥库中。

  • -storepass 123456 指定密钥库口令，这里是 123456。

执行上述命令如下：

C:\Users\Administrator>keytool -certreq -alias mykey -sigalg SHA256withRSA -file mykey.csr -keypass 123456 -keystore keystore.jks -dname "CN=hxstrive.com,OU=IT,O=hxstrive,L=ChengDu,ST=SiChuan,C=CN" -storepass 123456

Warning:
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

keytool -changealias 命令

keytool -changealias 命令用于更改密钥库中条目的别名，语法如下：

keytool -changealias -keystore <keystore_file> -alias <old_alias> -destalias <new_alias>

参数说明：

  • -keystore <keystore_file>  指定要操作的密钥库文件的路径。

  • -alias <old_alias>  要更改的旧别名。

  • -destalias <new_alias>  新的别名。

该命令还支持更多选项：

  • -keypass <arg>  密钥口令

  • -storepass <arg>  密钥库口令

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

  • -protected  通过受保护的机制的口令

示例：

如果您想将密钥库 mykeystore.jks 中别名 mykey 更改为 mykey2，可以执行以下命令：

keytool -changealias -keystore keystore.jks -alias mykey -destalias mykey2

执行过程如下：

C:\Users\Administrator> keytool -changealias -keystore keystore.jks -alias mykey -destalias mykey2
输入密钥库口令:

Warning:
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

最后，你也可以使用 -storepass 选项指定密钥库的密码，例如：

keytool -changealias -keystore keystore.jks -alias mykey2 -destalias mykey -storepass 123456

keytool -delete 命令

keytool -delete 命令用于从密钥库中删除条目。语法如下：

keytool -delete -alias <alias_name> -keystore <keystore_file> -storepass <password>

参数说明：

  • -alias <alias_name>  指定要删除的条目的别名。

  • -keystore <keystore_file>  指定要操作的密钥库文件。

  • -storepass <password>  指定密钥库的密码。

该命令还支持更多选项：

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

  • -protected  通过受保护的机制的口令

示例：

删除 keystore.jks 密钥库中的 myKey 条目，例如：

keytool -delete -alias myKey -keystore keystore.jks -storepass 123456

执行过程如下：

C:\Users\Administrator> keytool -delete -alias myKey -keystore keystore.jks -storepass 123456

keytool -exportcert 命令

keytool -exportcert 命令用于从密钥库中导出证书。语法如下：

keytool -exportcert -alias <alias_name> -keystore <keystore_file> -file <cert_file> -storepass <password>

参数说明：

  • -alias <alias_name>  指定要导出的证书的别名。

  • -keystore <keystore_file>  指定密钥库文件的路径。

  • -file <cert_file>  指定导出证书的保存路径和文件名。

  • -storepass <password>  指定密钥库的密码。

更多选项如下：

  • -rfc  以 RFC 样式输出

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

  • -protected  通过受保护的机制的口令

示例：

该示例将 keystore.jks 密钥库中的 mykey 条目导出为 myCert.cer 证书，例如：

keytool -exportcert -alias myKey -keystore keystore.jks -file myCert.cer -storepass 123456

执行过程如下：

C:\Users\Administrator>keytool -exportcert -alias myKey -keystore keystore.jks -file myCert.cer -storepass 123456
存储在文件 <myCert.cer> 中的证书

Warning:
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

keytool -genseckey 命令

keytool -genseckey 命令用于生成密钥，语法如下：

keytool -genseckey -alias <alias_name> -keypass <key_password> -keyalg <key_algorithm> -keysize <key_size> -keystore <keystore_file> -storepass <store_password> [-providerName <provider_name>] [-providerClass <provider_class_name> {-providerArg <provider_arg>}] [-v] [-protected]

参数说明：

  • -alias <alias_name>  指定密钥的别名，用于在密钥库中标识该密钥

  • -keypass <key_password>  指定密钥的密码

  • -keyalg <key_algorithm>  指定密钥算法，如 DES、AES 等

  • -keysize <key_size>  指定密钥的大小（位数）

  • -keystore <keystore_file>  指定密钥库文件的路径

  • -storepass <store_password>  指定密钥库的密码

  • -providerName <provider_name>  提供方名称（可选）

  • -providerClass <provider_class_name>  提供方类名（可选）

  • -providerArg <provider_arg>  提供方参数（可选）

  • -v  详细输出模式，显示更多关于密钥生成过程的信息

  • -protected  通过受保护的机制输入口令（可选）

  • -storetype <storetype>  密钥库类型

  • -providerpath <pathlist>  提供方类路径

示例：

keytool -genseckey -alias mySecretKey -keyalg AES -keysize 128 -keystore keystore.jks -storepass 123456 -keypass 123456

参数说明：

  • -alias mySecretKey ：指定生成的密钥的别名是 mySecretKey

  • -keyalg AES ：指定密钥算法为 AES

  • -keysize 128 ：指定密钥大小为 128 位

  • -keystore keystore.jks  指定密钥库文件为 keystore.jks

  • -storepass 123456 指定密钥库的密码是 123456

  • -keypass 123456  指定密钥的密码是 123456

执行过程如下：

C:\Users\Administrator>keytool -genseckey -alias mySecretKey -keyalg AES -keysize 128 -keystore myKeystore.jks -storepass 123456 -keypass 123456
keytool 错误: java.security.KeyStoreException: Cannot store non-PrivateKeys

当你看到错误 java.security.KeyStoreException: Cannot store non-PrivateKeys 时，意味着你试图将一个非私钥（non-private key）存储到密钥库中，但是密钥库通常只接受私钥及其相关的证书链。

导致上述错误的原因：Java 默认的密钥库类型为 JKS， 除这种类型外，还有 PKCS12、JCEKS 两种类型，要存储 Secret Key 要使用 JCEKS 类型，另外两种不支持。

修改命令如下：

keytool -genseckey -alias mySecretKey -keyalg AES -keysize 128 -keystore keystore.jks -storepass 123456 -keypass 123456 -storetype jceks

执行过程如下：

C:\Users\Administrator>keytool -genseckey -alias mySecretKey -keyalg AES -keysize 128 -keystore keystore.jks -storepass 123456 -keypass 123456 -storetype jceks

Warning:
JCEKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

keytool -gencert 命令

keytool -gencert 命令用于根据证书请求生成证书。它需要一个证书请求文件（.csr 文件）作为输入，并使用指定的密钥库中的私钥对其进行签名，从而生成相应的证书（.cer 文件或其他格式的证书文件）。

语法如下：

keytool -gencert -alias <signer_alias> -keystore <signer_keystore> -infile <certificate_request_file> -outfile <certificate_file> [-storepass <keystore_password>] [-validity <days>]

参数说明：

  • -alias <signer_alias> 指定用于签名的私钥的别名，该私钥必须存在于指定的密钥库中

  • -keystore <signer_keystore> 指定包含用于签名的私钥的密钥库文件的路径

  • -infile <certificate_request_file> 指定要签名的证书请求文件（.csr 文件）的路径

  • -outfile <certificate_file> 指定生成的证书文件的输出路径和文件名

  • -storepass <keystore_password> 指定密钥库的密码（如果密钥库有密码保护）

  • -validity <days> 可选参数，指定生成的证书的有效天数

更多选项：

  • -rfc  以 RFC 样式输出

  • -sigalg <sigalg>  签名算法名称

  • -dname <dname>  唯一判别名

  • -startdate <startdate>  证书有效期开始日期/时间

  • -ext <value>  X.509 扩展

  • -keypass <arg>  密钥口令

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

  • -protected  通过受保护的机制的口令

示例：

（1）生成 keystore.jks 文件，如下：

keytool -genkeypair -alias myKey -keyalg RSA -keysize 2048 -validity 3650 -storetype JKS -keystore keystore.jks -storepass 123456 -dname "CN=hxstrive.com, OU=IT, O=hxstrive, L=ChengDu, ST=SiChuan, C=CN"

（2）利用上面步骤输出的 keystore.jks 文件生成 server.csr 文件，如下：

keytool -certreq -alias myKey -keystore keystore.jks -file server.csr

（3）生成 server.cer 文件，使用名为 myKey 的私钥对证书请求文件 server.csr 进行签名，并将生成的证书保存为 server.cer，密钥库密码为 123456，证书有效期为 365 天，可以使用以下命令。

keytool -gencert -alias ca -keystore ca.keystore -infile server.csr -outfile server.cer -storepass 123456 -validity 365

执行上述命令后，将根据证书请求文件生成一个经过签名的证书，并将其保存到指定的输出文件中。该证书可以用于各种需要证书的场景，例如 SSL/TLS 通信等。

keytool -importcert 命令

keytool -importcert 命令用于将证书导入到密钥库中。语法如下：

keytool -importcert -alias <alias_name> -file <certificate_file> -keystore <keystore_file> -storepass <password> [-noprompt]

参数说明：

  • -alias <alias_name>  为导入的证书指定一个别名，以便在密钥库中识别

  • -file <certificate_file>  要导入的证书文件的路径

  • -keystore <keystore_file>  指定目标密钥库文件的路径

  • -storepass <password>  密钥库的密码

  • -noprompt  如果添加此选项，将不会提示确认操作，直接执行导入

更多选项:

  • -trustcacerts  信任来自 cacerts 的证书

  • -protected  通过受保护的机制的口令

  • -keypass <arg>  密钥口令

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

示例：

下面示例将 server.cer 证书导入到 keystore.jks 密钥库中，并且设置别名为 myKey2。如下：

keytool -importcert -alias myKey2 -file server.cer -keystore keystore.jks -storepass 123456

执行过程如下：

C:\Users\Administrator>keytool -importcert -alias myKey2 -file server.cer -keystore keystore.jks -storepass 123456
所有者: CN=hxstrive.com, OU=IT, O=hxstrive, L=ChengDu, ST=SiChuan, C=CN
发布者: CN=hxstrive.com, OU=IT, O=hxstrive, L=ChengDu, ST=SiChuan, C=CN
序列号: 665b20e7
有效期为 Mon Jul 01 17:07:04 CST 2024 至 Tue Jul 01 17:07:04 CST 2025
证书指纹:
         MD5:  8C:B0:4C:CE:A7:14:4D:AC:DE:52:70:24:7A:F6:92:32
         SHA1: DA:BE:47:30:5B:C7:0E:32:6A:75:F8:5E:F1:06:10:E9:73:1A:5A:5C
         SHA256: D8:2D:8D:BE:9B:9C:E1:69:C5:83:6E:0D:5E:17:86:20:38:C6:D1:49:DF:89:35:8D:08:6E:C8:CB:0E:1F:45:2B
签名算法名称: SHA256withRSA
主体公共密钥算法: 2048 位 RSA 密钥
版本: 3

扩展:

#1: ObjectId: 2.5.29.14 Criticality=false
SubjectKeyIdentifier [
KeyIdentifier [
0000: EF 12 51 12 19 9E 9E 65   98 B5 3D 0F 05 3A D6 D7  ..Q....e..=..:..
0010: 36 51 DF 0C                                        6Q..
]
]

是否信任此证书? [否]:  Y
证书已添加到密钥库中

Warning:
JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

执行上述命令后，将 server.cer 证书文件导入到 keystore.jks 密钥库中，并赋予 myKey2 别名。

keytool -importpass 命令

keytool -importpass 命令用于导入口令。但一般情况下，较少直接使用这个命令。语法如下：

keytool -importpass -alias <alias_name> -keypass <old_key_pass> -new <new_key_pass> -keystore <keystore_file> -storepass <store_pass> [-providerclass <provider_class_name>] [-providerarg <provider_arg>]

参数说明：

  • -alias <alias_name>  指定密钥库中条目的别名

  • -keypass <old_key_pass>  当前条目的旧密钥口令

  • -new <new_key_pass>  要设置的新密钥口令

  • -keystore <keystore_file>  指定密钥库文件的路径

  • -storepass <store_pass>  密钥库的存储口令

  • -providerclass <provider_class_name>  指定提供程序的类名（可选）

  • -providerarg <provider_arg>  提供程序的参数（可选）

更多选项：

  • -keyalg <keyalg>  密钥算法名称

  • -keysize <keysize>  密钥位大小

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

  • -protected  通过受保护的机制的口令

示例：

要将别名名为 myKey1 的条目密钥口令更新为新口令 aaaaaa，密钥库文件为 keystore.jks，其存储口令为 123456，可使用以下命令：

keytool -importpass -alias myKey2 -keypass 123456 -new aaaaaa -keystore keystore.jks -storepass 123456

keytool -importkeystore 命令

keytool -importkeystore 命令用于将一个密钥库的内容导入到另一个密钥库中，或者将密钥库从一种格式转换为另一种格式。语法如下：

keytool -importkeystore -srckeystore <source_keystore> -destkeystore <destination_keystore> [-srcstoretype <source_store_type>] [-deststoretype <destination_store_type>] [-srcstorepass <source_store_password>] [-deststorepass <destination_store_password>] [-srcalias <source_alias>] [-destalias <destination_alias>] [-srckeypass <source_key_password>] [-destkeypass <destination_key_password>] [-noprompt]

参数说明：

  • -srckeystore <source_keystore>：指定源密钥库的路径。

  • -destkeystore <destination_keystore>：指定目标密钥库的路径。

  • -srcstoretype <source_store_type>：指定源密钥库的类型（例如，JKS、PKCS12 等）。

  • -deststoretype <destination_store_type>：指定目标密钥库的类型。

  • -srcstorepass <source_store_password>：源密钥库的密码。

  • -deststorepass <destination_store_password>：目标密钥库的密码。

  • -srcalias <source_alias>：源密钥库中条目的别名。

  • -destalias <destination_alias>：目标密钥库中对应的别名。

  • -srckeypass <source_key_password>：源密钥库中条目的密钥密码。

  • -destkeypass <destination_key_password>：目标密钥库中条目的密钥密码。

  • -noprompt：不提示确认信息，直接执行操作。

选项:

  • -srckeystore <srckeystore>  源密钥库名称

  • -destkeystore <destkeystore>  目标密钥库名称

  • -srcstoretype <srcstoretype>  源密钥库类型

  • -deststoretype <deststoretype>  目标密钥库类型

  • -srcstorepass <arg>  源密钥库口令

  • -deststorepass <arg>  目标密钥库口令

  • -srcprotected  受保护的源密钥库口令

  • -srcprovidername <srcprovidername>  源密钥库提供方名称

  • -destprovidername <destprovidername>  目标密钥库提供方名称

  • -srcalias <srcalias>  源别名

  • -destalias <destalias>  目标别名

  • -srckeypass <arg>  源密钥口令

  • -destkeypass <arg>  目标密钥口令

  • -noprompt  不提示

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

例如，将一个 JKS 格式的源密钥库 source.jks 导入到 PKCS12 格式的目标密钥库 destination.p12 中，源和目标密钥库密码均为 password，可以使用以下命令：

keytool -importkeystore -srckeystore source.jks -destkeystore destination.p12 -srcstoretype JKS -deststoretype PKCS12 -srcstorepass password -deststorepass password

keytool -keypasswd 命令

keytool -keypasswd 命令用于修改密钥库中指定条目（如密钥对）的口令（密码）。语法格式为：

keytool -keypasswd -alias <alias_name> -keypass <old_key_pass> -new <new_key_pass> -storepass <store_pass> -keystore <keystore_file>

参数说明：

  • -alias <alias_name>：指定要修改口令的条目的别名。

  • -keypass <old_key_pass>：当前条目的旧密钥口令。

  • -new <new_key_pass>：要设置的新密钥口令。

  • -storepass <store_pass>：密钥库的存储口令。

  • -keystore <keystore_file>：指定密钥库文件的路径。

更多选项：

  • -alias <alias>  要处理的条目的别名

  • -keypass <arg>  密钥口令

  • -new <arg>  新口令

  • -keystore <keystore>  密钥库名称

  • -storepass <arg>  密钥库口令

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

示例：

要将别名名为 myAlias 的条目密钥口令从旧口令 oldPass 修改为新口令 newPass，密钥库文件为 myKeystore.jks，其存储口令为 storePass，可使用以下命令：

keytool -keypasswd -alias myAlias -keypass oldPass -new newPass -storepass storePass -keystore myKeystore.jks

请注意，在实际使用中不应在命令行中直接明文指定口令，以避免口令泄露。如果没有在命令行上指定口令选项，执行命令时将会提示输入相应的口令。另外，输入口令时，口令通常不会以明文形式显示。同时，请务必妥善保管密钥库和相关口令，以确保安全性。

keytool -list 命令

keytool -list 命令用于列出密钥库中的条目信息。语法格式为：

keytool -list -v -keystore <keystore_file> -storepass <store_password>

参数说明：

  • -v：表示详细输出，会显示更多关于证书的信息。

  • -keystore <keystore_file>：指定要查看的密钥库文件的路径。

  • -storepass <store_password>：指定密钥库的密码。

更多选项：

  • -rfc  以 RFC 样式输出

  • -alias <alias>  要处理的条目的别名

  • -keystore <keystore>  密钥库名称

  • -storepass <arg>  密钥库口令

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

  • -protected  通过受保护的机制的口令

示例：

keytool -list -v -keystore myKeystore.jks -storepass myPassword

执行上述命令后，将显示指定密钥库中的条目详细信息，包括别名、证书所有者、颁发者、有效期等。

keytool -printcert 命令

keytool -printcert 命令用于打印证书的详细信息。语法格式为：

keytool -printcert -file <certificate_file>

参数说明：

  • -file <certificate_file> 指定要打印信息的证书文件的路径。

  • -rfc  以 RFC 样式输出

  • -sslserver <server[:port]>  SSL 服务器主机和端口

  • -jarfile <filename>  已签名的 jar 文件

  • -v  详细输出

例如：

keytool -printcert -file myCertificate.cer

执行上述命令后，将输出指定证书文件的详细信息，包括证书版本、序列号、签名算法、颁发者、有效期等。

keytool -printcertreq 命令

keytool -printcertreq 命令用于打印证书请求的内容。语法格式为：

keytool -printcertreq -alias <alias> -keystore <keystore> -storepass <storepass> [-file <filename>] [-v]

参数说明：

  • -alias <alias>  指定要打印证书请求的条目的别名。

  • -keystore <keystore>  指定包含证书请求的密钥库文件的路径。

  • -storepass <storepass>  指定密钥库的密码。

  • -file <filename>  （可选）将证书请求输出到指定的文件中，而不是打印到控制台。

  • -v  （可选）表示详细输出，会显示更多关于证书请求的信息。

执行该命令后，将输出指定别名对应的证书请求的详细内容，包括请求的相关信息，如主体的名称、公钥等。

例如：

keytool -printcertreq -alias myAlias -keystore myKeystore.jks -storepass myPassword

上述命令将从名为 myKeystore.jks 的密钥库中，打印出别名为 myAlias 的证书请求的内容。如果需要将内容输出到文件中，可以添加 -file 参数，如：

keytool -printcertreq -alias myAlias -keystore myKeystore.jks -storepass myPassword -file myCertReq.txt

这样，证书请求的内容将被输出到 myCertReq.txt 文件中。

keytool -printcrl 命令

keytool -printcrl 命令用于打印证书吊销列表（Certificate Revocation List，CRL）的内容。语法格式为：

keytool -printcrl -file <crl_file>

其中：

  • -file <crl_file> 指定要打印的 CRL 文件的路径。

  • -v  详细输出

执行该命令后，会将指定 CRL 文件中的相关信息打印输出，包括 CRL 的版本、颁发者、下次更新时间、吊销的证书序列号等。

keytool -storepasswd 命令

keytool -storepasswd 命令用于修改密钥库的密码。语法格式为：

keytool -storepasswd -keystore <keystore_file>

其中，<keystore_file> 是要修改密码的密钥库文件的路径。执行该命令后，会提示你输入密钥库的当前密码，然后要求输入新密码并进行确认。

更多选项：

  • -new <arg>  新口令

  • -keystore <keystore>  密钥库名称

  • -storepass <arg>  密钥库口令

  • -storetype <storetype>  密钥库类型

  • -providername <providername>  提供方名称

  • -providerclass <providerclass>  提供方类名

  • -providerarg <arg>  提供方参数

  • -providerpath <pathlist>  提供方类路径

  • -v  详细输出

示例：

keytool -storepasswd -keystore keystore.jks

需要注意的是，直接在命令中提供密码不是一种安全的做法，因为密码可能会从命令历史记录中读取或通过某些方式被观察到。如果省略密码，工具通常会提示你输入密码。另外，在执行与密钥库相关的操作时，务必确保你对密钥库有足够的权限和了解，以避免意外的数据丢失或安全问题。

上一章：jstack.exe Java堆栈跟踪
说说我的看法
全部评论（）
没有评论
关于
本网站属于个人的非赢利性网站，转载的文章遵循原作者的版权声明，如果原文没有版权声明，请来信告知：hxstrive@outlook.com
链接
其他应用
公众号
©2018-2020 hxstrive.com 版权所有 ICP证：蜀ICP备14031461号-2   川公网安备51010802032098