-certreq            生成證書請求
-changealias        更改條目的別名
-delete             刪除條目
-exportcert         導(dǎo)出證書（簡寫 export）
-genkeypair         生成密鑰對（簡寫 genkey）
-genseckey          生成密鑰
-gencert            根據(jù)證書請求生成證書
-importcert         導(dǎo)入證書或證書鏈（簡寫 import）
-importpass         導(dǎo)入口令
-importkeystore     從其他密鑰庫導(dǎo)入一個或所有條目
-keypasswd          更改條目的密鑰口令
-list               列出密鑰庫中的條目
-printcert          打印證書內(nèi)容
-printcertreq       打印證書請求的內(nèi)容
-printcrl           打印 CRL 文件的內(nèi)容
-storepasswd        更改密鑰庫的存儲口令

-genkey         產(chǎn)生密鑰對（genkeypair 簡寫）；表示要創(chuàng)建一個新的密鑰；alias和keystore缺省時，在用戶主目錄中創(chuàng)建一個”.keystore”文件，且別名為mykey，包含用戶的公鑰、私鑰證書
-alias          產(chǎn)生證書別名，和keystore關(guān)聯(lián)的唯一別名，不區(qū)分大小寫（默認(rèn) `mykey`）
-keystore       指定密鑰庫文件的名稱（默認(rèn)在用戶主目錄創(chuàng)建證書庫）
-keyalg         指定密鑰的算法（可選擇密鑰算法：`RSA`、`DSA`、`EC`，默認(rèn)`DSA`)
-keysize        指定密鑰長度（與keyalg默認(rèn)對應(yīng)關(guān)系：`RSA=2048`、`DSA=2048`、`EC=256`）
-sigalg         指定簽名算法（MD5和 SHA1的簽名算法已經(jīng)不安全）
-validity       指定證書有效期天數(shù)（默認(rèn) `90`天）
-storepass      指定密鑰庫口令，推薦與keypass一致（獲取keystore信息所需的密碼）
-storetype      指定密鑰庫的類型，可用類型為：JKS、PKCS12等。（jdk9以前，默認(rèn)為JKS。自jdk9開始，默認(rèn)為PKCS12）
-keypass        指定別名條目口令（私鑰的密碼）
-dname          指定證書發(fā)行者信息（其中 CN 要和服務(wù)器的域名相同，本地測試則使用localhost，其他的可以不填）
-list           顯示密鑰庫中的證書信息
-v              詳細輸出，顯示密鑰庫中的證書詳細信息
-file           指定導(dǎo)出或?qū)С龅奈募?
-export         將別名指定的證書導(dǎo)出到文件（exportcert 簡寫）
-import         將已簽名數(shù)字證書導(dǎo)入密鑰庫（importcert 簡寫）
-printcert      查看導(dǎo)出的證書信息
-delete         刪除密鑰庫中某條目
-keypasswd      修改密鑰庫中指定條目口令
-storepasswd    修改keystore口令
-ext            X.509 擴展

keytool -genkey 
        -alias <alias> 
        -keyalg RSA 
        [-sigalg SHA256withRSA] 
        [-keysize 2048] 
        -keypass <keypasswd> 
        -keystore <keystore_file> 
        -storetype JKS|PKCS12 
        -storepass <keystore_passwd> 
        -validity 3650 
        -dname "CN=github.com,OU=github.com,Inc.,O=Github, Inc.,L=San Francisco,ST=California,C=US" 
        -ext SAN=dns:github.com,dns:www.github.com,ip:127.0.0.1 

-genkey     產(chǎn)生密鑰對（genkeypair 簡寫）
-alias      證書別名；和keystore關(guān)聯(lián)的唯一別名，這個alias通常不區(qū)分大小寫（默認(rèn)`mykey`）
-keyalg     指定加密算法，RSA：非對稱加密（默認(rèn)`DSA`）
-sigalg     指定簽名算法，可選;
-keysize    指定密鑰長度，可選;
-keypass    指定別名條目口令（私鑰的密碼）
-storetype  生成證書類型，可用的證書庫類型為：JKS、PKCS12等。
-keystore   指定產(chǎn)生的密鑰庫的位置；
-storepass  指定密鑰庫的存取口令，推薦與keypass一致
-validity   證書有效期天數(shù)；（默認(rèn)為 90天）
-dname      表明了密鑰的發(fā)行者身份（Distinguished Names）生成證書時，其中 CN 要和服務(wù)器的域名相同，本地測試則使用localhost，其他的可以不填
-ext        X.509 擴展

keytool -export 
        -alias <alias> 
        -keystore <keystore_file> 
        -storepass <keystore_passwd> 
        -file <file_cer>    
        [-rfc] 

-export     執(zhí)行證書導(dǎo)出操作（exportcert 簡寫）
-alias      密鑰庫中的證書條目別名（jks里可以存儲多對公私鑰文件，通過別名指定導(dǎo)出的公鑰證書）
-keystore   指定密鑰庫文件
-storepass  密鑰庫口令
-file       導(dǎo)出文件的輸出路徑
-rfc        使用Base64格式輸出（輸出pem編碼格式的證書，文本格式），不適用則導(dǎo)出的證書為DER編碼格式

keytool -certreq 
        -alias <alias> 
        -keystore <keystore_file> 
        -storepass <keystore_passwd> 
        -file <file_csr> 

-certreq    執(zhí)行證書簽發(fā)申請導(dǎo)出操作
-alias      密鑰庫中的證書條目別名
-keystore   密鑰庫文件名稱
-storepass  密鑰庫口令
-file       輸出的csr文件路徑

keytool -import 
        [-trustcacerts] 
        -alias <alias_cer> 
        -keystore <keystore_file>
        -storepass <keystore_passwd> 
        -file <file_cer> 

-import     執(zhí)行證書導(dǎo)入操作（importcert 簡寫）
-alias      指定導(dǎo)入密鑰庫中的證書別名（指定的條目別名不能與密鑰庫中已存在的條目別名重復(fù)（導(dǎo)入簽發(fā)證書除外））
-trustcacerts    將證書導(dǎo)入信任庫（信任來自 cacerts 的證書）
-keystore   密鑰庫名稱
-storepass  密鑰庫口令
-file       輸入文件名

# 查看單個證書（cer | crt）
keytool -printcert -file <cert_file> [-v|-rfc]

# 查看密鑰庫中的證書條目
keytool -list [-alias <alias_name>] -keystore <keystore_file> -storepass <keystore_passwd> [-v|-rfc]

# 查看生成的CSR證書請求
keytool -printcertreq -file <certreq_file>     

-alias      密鑰庫中的證書條目別名；
-keystore   指定密鑰庫文件；
-storepass  密鑰庫口令；
-printcert  執(zhí)行證書打印命令；
-list       缺省情況下，命令打印證書的 MD5 指紋。
    而如果指定了 -v 選項，將以可讀格式打印證書，
    如果指定了 -rfc 選項，將以可打印的編碼格式輸出證書。

# 刪除keystore里面指定證書條目
keytool -delete -alias <alias> -keystore <keystore_file> -storepass <keystore_passwd>
# 修改條目別名
keytool -changealias -keystore <keystore_file> -alias <old_alias> -destalias <new_alias>
# 修改條目密碼
keytool -keypasswd -alias <alias> -keypass <old_keypasswd> -new <new_keypasswd> -keystore <keystore_file> -storepass <keystore_passwd>
# 修改keysore密碼
keytool -storepasswd -new <new_storepasswd> -keystore <keystore_file> -storepass <old_storepasswd>
# 列出信任的CA證書（查看 JVM的信任庫中的證書，storepass 默認(rèn)為changeit）
## 該證書文件存在于JAVA_HOME\jre\lib\security目錄下，是Java系統(tǒng)的CA證書倉庫，可以用 'alias' 來查看證書是否真的導(dǎo)入到JVM中
keytool -list -v [-alias clientCer] -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit
# 導(dǎo)入新的CA到信任證書，導(dǎo)入到 JRE的信任證書庫
## 常出現(xiàn)的異常：“未找到可信任的證書”  -- 主要原因為在客戶端未將服務(wù)器下發(fā)的證書導(dǎo)入到JVM中。
keytool -import -trustcacerts -alias clientCer -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit -file ~/ssl/client.cer

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="true" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"
    truststoreFile="~/ssl/truststore.jks" truststorePass="123456"
/>

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"（）
/>

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="true" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"
    truststoreFile="~/ssl/truststore.jks" truststorePass="123456"
/>

<login-config> 
    <!-- Authorization setting for SSL --> 
    <auth-method>CLIENT-CERT</auth-method> 
    <realm-name>Client Cert Users-only Area</realm-name> 
</login-config> 
<security-constraint> 
    <!-- Authorization setting for SSL --> 
    <web-resource-collection > 
        <web-resource-name >SSL</web-resource-name> 
        <url-pattern>/*</url-pattern> 
    </web-resource-collection> 
    <user-data-constraint> 
        <transport-guarantee>CONFIDENTIAL</transport-guarantee> 
    </user-data-constraint> 
</security-constraint>