關於Keytool配置 Tomcat的HTTPS雙向認證的問題

-certreq            生成證書請求
-changealias        更改條目的別名
-delete             刪除條目
-exportcert         導出證書（簡寫 export）
-genkeypair         生成密鑰對（簡寫 genkey）
-genseckey          生成密鑰
-gencert            根據證書請求生成證書
-importcert         導入證書或證書鏈（簡寫 import）
-importpass         導入口令
-importkeystore     從其他密鑰庫導入一個或所有條目
-keypasswd          更改條目的密鑰口令
-list               列出密鑰庫中的條目
-printcert          打印證書內容
-printcertreq       打印證書請求的內容
-printcrl           打印 CRL 文件的內容
-storepasswd        更改密鑰庫的存儲口令

-genkey         產生密鑰對（genkeypair 簡寫）；表示要創建一個新的密鑰；alias和keystore缺省時，在用戶主目錄中創建一個”.keystore”文件，且別名為mykey，包含用戶的公鑰、私鑰證書
-alias          產生證書別名，和keystore關聯的唯一別名，不區分大小寫（默認 `mykey`）
-keystore       指定密鑰庫文件的名稱（默認在用戶主目錄創建證書庫）
-keyalg         指定密鑰的算法（可選擇密鑰算法：`RSA`、`DSA`、`EC`，默認`DSA`)
-keysize        指定密鑰長度（與keyalg默認對應關系：`RSA=2048`、`DSA=2048`、`EC=256`）
-sigalg         指定簽名算法（MD5和 SHA1的簽名算法已經不安全）
-validity       指定證書有效期天數（默認 `90`天）
-storepass      指定密鑰庫口令，推薦與keypass一致（獲取keystore信息所需的密碼）
-storetype      指定密鑰庫的類型，可用類型為：JKS、PKCS12等。（jdk9以前，默認為JKS。自jdk9開始，默認為PKCS12）
-keypass        指定別名條目口令（私鑰的密碼）
-dname          指定證書發行者信息（其中 CN 要和服務器的域名相同，本地測試則使用localhost，其他的可以不填）
-list           顯示密鑰庫中的證書信息
-v              詳細輸出，顯示密鑰庫中的證書詳細信息
-file           指定導出或導出的文件名
-export         將別名指定的證書導出到文件（exportcert 簡寫）
-import         將已簽名數字證書導入密鑰庫（importcert 簡寫）
-printcert      查看導出的證書信息
-delete         刪除密鑰庫中某條目
-keypasswd      修改密鑰庫中指定條目口令
-storepasswd    修改keystore口令
-ext            X.509 擴展

keytool -genkey 
        -alias <alias> 
        -keyalg RSA 
        [-sigalg SHA256withRSA] 
        [-keysize 2048] 
        -keypass <keypasswd> 
        -keystore <keystore_file> 
        -storetype JKS|PKCS12 
        -storepass <keystore_passwd> 
        -validity 3650 
        -dname "CN=github.com,OU=github.com,Inc.,O=Github, Inc.,L=San Francisco,ST=California,C=US" 
        -ext SAN=dns:github.com,dns:www.github.com,ip:127.0.0.1 

-genkey     產生密鑰對（genkeypair 簡寫）
-alias      證書別名；和keystore關聯的唯一別名，這個alias通常不區分大小寫（默認`mykey`）
-keyalg     指定加密算法，RSA：非對稱加密（默認`DSA`）
-sigalg     指定簽名算法，可選;
-keysize    指定密鑰長度，可選;
-keypass    指定別名條目口令（私鑰的密碼）
-storetype  生成證書類型，可用的證書庫類型為：JKS、PKCS12等。
-keystore   指定產生的密鑰庫的位置；
-storepass  指定密鑰庫的存取口令，推薦與keypass一致
-validity   證書有效期天數；（默認為 90天）
-dname      表明瞭密鑰的發行者身份（Distinguished Names）生成證書時，其中 CN 要和服務器的域名相同，本地測試則使用localhost，其他的可以不填
-ext        X.509 擴展

keytool -export 
        -alias <alias> 
        -keystore <keystore_file> 
        -storepass <keystore_passwd> 
        -file <file_cer>    
        [-rfc] 

-export     執行證書導出操作（exportcert 簡寫）
-alias      密鑰庫中的證書條目別名（jks裡可以存儲多對公私鑰文件，通過別名指定導出的公鑰證書）
-keystore   指定密鑰庫文件
-storepass  密鑰庫口令
-file       導出文件的輸出路徑
-rfc        使用Base64格式輸出（輸出pem編碼格式的證書，文本格式），不適用則導出的證書為DER編碼格式

keytool -certreq 
        -alias <alias> 
        -keystore <keystore_file> 
        -storepass <keystore_passwd> 
        -file <file_csr> 

-certreq    執行證書簽發申請導出操作
-alias      密鑰庫中的證書條目別名
-keystore   密鑰庫文件名稱
-storepass  密鑰庫口令
-file       輸出的csr文件路徑

keytool -import 
        [-trustcacerts] 
        -alias <alias_cer> 
        -keystore <keystore_file>
        -storepass <keystore_passwd> 
        -file <file_cer> 

-import     執行證書導入操作（importcert 簡寫）
-alias      指定導入密鑰庫中的證書別名（指定的條目別名不能與密鑰庫中已存在的條目別名重復（導入簽發證書除外））
-trustcacerts    將證書導入信任庫（信任來自 cacerts 的證書）
-keystore   密鑰庫名稱
-storepass  密鑰庫口令
-file       輸入文件名

# 查看單個證書（cer | crt）
keytool -printcert -file <cert_file> [-v|-rfc]

# 查看密鑰庫中的證書條目
keytool -list [-alias <alias_name>] -keystore <keystore_file> -storepass <keystore_passwd> [-v|-rfc]

# 查看生成的CSR證書請求
keytool -printcertreq -file <certreq_file>     

-alias      密鑰庫中的證書條目別名；
-keystore   指定密鑰庫文件；
-storepass  密鑰庫口令；
-printcert  執行證書打印命令；
-list       缺省情況下，命令打印證書的 MD5 指紋。
    而如果指定瞭 -v 選項，將以可讀格式打印證書，
    如果指定瞭 -rfc 選項，將以可打印的編碼格式輸出證書。

# 刪除keystore裡面指定證書條目
keytool -delete -alias <alias> -keystore <keystore_file> -storepass <keystore_passwd>
# 修改條目別名
keytool -changealias -keystore <keystore_file> -alias <old_alias> -destalias <new_alias>
# 修改條目密碼
keytool -keypasswd -alias <alias> -keypass <old_keypasswd> -new <new_keypasswd> -keystore <keystore_file> -storepass <keystore_passwd>
# 修改keysore密碼
keytool -storepasswd -new <new_storepasswd> -keystore <keystore_file> -storepass <old_storepasswd>
# 列出信任的CA證書（查看 JVM的信任庫中的證書，storepass 默認為changeit）
## 該證書文件存在於JAVA_HOME\jre\lib\security目錄下，是Java系統的CA證書倉庫，可以用 'alias' 來查看證書是否真的導入到JVM中
keytool -list -v [-alias clientCer] -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit
# 導入新的CA到信任證書，導入到 JRE的信任證書庫
## 常出現的異常：“未找到可信任的證書”  -- 主要原因為在客戶端未將服務器下發的證書導入到JVM中。
keytool -import -trustcacerts -alias clientCer -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit -file ~/ssl/client.cer

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="true" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"
    truststoreFile="~/ssl/truststore.jks" truststorePass="123456"
/>

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"（）
/>

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="true" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"
    truststoreFile="~/ssl/truststore.jks" truststorePass="123456"
/>

<login-config> 
    <!-- Authorization setting for SSL --> 
    <auth-method>CLIENT-CERT</auth-method> 
    <realm-name>Client Cert Users-only Area</realm-name> 
</login-config> 
<security-constraint> 
    <!-- Authorization setting for SSL --> 
    <web-resource-collection > 
        <web-resource-name >SSL</web-resource-name> 
        <url-pattern>/*</url-pattern> 
    </web-resource-collection> 
    <user-data-constraint> 
        <transport-guarantee>CONFIDENTIAL</transport-guarantee> 
    </user-data-constraint> 
</security-constraint>