關於Keytool設定 Tomcat的HTTPS雙向認證的問題

-certreq            生成證書請求
-changealias        更改條目的別名
-delete             刪除條目
-exportcert         匯出證書（簡寫 export）
-genkeypair         生成金鑰對（簡寫 genkey）
-genseckey          生成金鑰
-gencert            根據證書請求生成證書
-importcert         匯入證書或證書鏈（簡寫 import）
-importpass         匯入口令
-importkeystore     從其他金鑰庫匯入一個或所有條目
-keypasswd          更改條目的金鑰口令
-list               列出金鑰庫中的條目
-printcert          列印證書內容
-printcertreq       列印證書請求的內容
-printcrl           列印 CRL 檔案的內容
-storepasswd        更改金鑰庫的儲存口令

-genkey         產生金鑰對（genkeypair 簡寫）；表示要建立一個新的金鑰；alias和keystore預設時，在使用者主目錄中建立一個」.keystore」檔案，且別名為mykey，包含使用者的公鑰、私鑰證書
-alias          產生證書別名，和keystore關聯的唯一別名，不區分大小寫（預設 `mykey`）
-keystore       指定金鑰庫檔案的名稱（預設在使用者主目錄建立證書庫）
-keyalg         指定金鑰的演演算法（可選擇金鑰演演算法：`RSA`、`DSA`、`EC`，預設`DSA`)
-keysize        指定金鑰長度（與keyalg預設對應關係：`RSA=2048`、`DSA=2048`、`EC=256`）
-sigalg         指定簽名演演算法（MD5和 SHA1的簽名演演算法已經不安全）
-validity       指定證書有效期天數（預設 `90`天）
-storepass      指定金鑰庫口令，推薦與keypass一致（獲取keystore資訊所需的密碼）
-storetype      指定金鑰庫的型別，可用型別為：JKS、PKCS12等。（jdk9以前，預設為JKS。自jdk9開始，預設為PKCS12）
-keypass        指定別名條目口令（私鑰的密碼）
-dname          指定證書發行者資訊（其中 CN 要和伺服器的域名相同，本地測試則使用localhost，其他的可以不填）
-list           顯示金鑰庫中的證書資訊
-v              詳細輸出，顯示金鑰庫中的證書詳細資訊
-file           指定匯出或匯出的檔名
-export         將別名指定的證書匯出到檔案（exportcert 簡寫）
-import         將已簽名數位憑證匯入金鑰庫（importcert 簡寫）
-printcert      檢視匯出的證書資訊
-delete         刪除金鑰庫中某條目
-keypasswd      修改金鑰庫中指定條目口令
-storepasswd    修改keystore口令
-ext            X.509 擴充套件

keytool -genkey 
        -alias <alias> 
        -keyalg RSA 
        [-sigalg SHA256withRSA] 
        [-keysize 2048] 
        -keypass <keypasswd> 
        -keystore <keystore_file> 
        -storetype JKS|PKCS12 
        -storepass <keystore_passwd> 
        -validity 3650 
        -dname "CN=github.com,OU=github.com,Inc.,O=Github, Inc.,L=San Francisco,ST=California,C=US" 
        -ext SAN=dns:github.com,dns:www.github.com,ip:127.0.0.1 

-genkey     產生金鑰對（genkeypair 簡寫）
-alias      證書別名；和keystore關聯的唯一別名，這個alias通常不區分大小寫（預設`mykey`）
-keyalg     指定加密演演算法，RSA：非對稱加密（預設`DSA`）
-sigalg     指定簽名演演算法，可選;
-keysize    指定金鑰長度，可選;
-keypass    指定別名條目口令（私鑰的密碼）
-storetype  生成證書型別，可用的證書庫型別為：JKS、PKCS12等。
-keystore   指定產生的金鑰庫的位置；
-storepass  指定金鑰庫的存取口令，推薦與keypass一致
-validity   證書有效期天數；（預設為 90天）
-dname      表明了金鑰的發行者身份（Distinguished Names）生成證書時，其中 CN 要和伺服器的域名相同，本地測試則使用localhost，其他的可以不填
-ext        X.509 擴充套件

keytool -export 
        -alias <alias> 
        -keystore <keystore_file> 
        -storepass <keystore_passwd> 
        -file <file_cer>    
        [-rfc] 

-export     執行證書匯出操作（exportcert 簡寫）
-alias      金鑰庫中的證書條目別名（jks裡可以儲存多對公私鑰檔案，通過別名指定匯出的公鑰證書）
-keystore   指定金鑰庫檔案
-storepass  金鑰庫口令
-file       匯出檔案的輸出路徑
-rfc        使用Base64格式輸出（輸出pem編碼格式的證書，文字格式），不適用則匯出的證書為DER編碼格式

keytool -certreq 
        -alias <alias> 
        -keystore <keystore_file> 
        -storepass <keystore_passwd> 
        -file <file_csr> 

-certreq    執行證書籤發申請匯出操作
-alias      金鑰庫中的證書條目別名
-keystore   金鑰庫檔名稱
-storepass  金鑰庫口令
-file       輸出的csr檔案路徑

keytool -import 
        [-trustcacerts] 
        -alias <alias_cer> 
        -keystore <keystore_file>
        -storepass <keystore_passwd> 
        -file <file_cer> 

-import     執行證書匯入操作（importcert 簡寫）
-alias      指定匯入金鑰庫中的證書別名（指定的條目別名不能與金鑰庫中已存在的條目別名重複（匯入簽發證書除外））
-trustcacerts    將證書匯入信任庫（信任來自 cacerts 的證書）
-keystore   金鑰庫名稱
-storepass  金鑰庫口令
-file       輸入檔名

# 檢視單個證書（cer | crt）
keytool -printcert -file <cert_file> [-v|-rfc]

# 檢視金鑰庫中的證書條目
keytool -list [-alias <alias_name>] -keystore <keystore_file> -storepass <keystore_passwd> [-v|-rfc]

# 檢視生成的CSR證書請求
keytool -printcertreq -file <certreq_file>     

-alias      金鑰庫中的證書條目別名；
-keystore   指定金鑰庫檔案；
-storepass  金鑰庫口令；
-printcert  執行證書列印命令；
-list       預設情況下，命令列印證書的 MD5 指紋。
    而如果指定了 -v 選項，將以可讀格式列印證書，
    如果指定了 -rfc 選項，將以可列印的編碼格式輸出證書。

# 刪除keystore裡面指定證書條目
keytool -delete -alias <alias> -keystore <keystore_file> -storepass <keystore_passwd>
# 修改條目別名
keytool -changealias -keystore <keystore_file> -alias <old_alias> -destalias <new_alias>
# 修改條目密碼
keytool -keypasswd -alias <alias> -keypass <old_keypasswd> -new <new_keypasswd> -keystore <keystore_file> -storepass <keystore_passwd>
# 修改keysore密碼
keytool -storepasswd -new <new_storepasswd> -keystore <keystore_file> -storepass <old_storepasswd>
# 列出信任的CA證書（檢視 JVM的信任庫中的證書，storepass 預設為changeit）
## 該證書檔案存在於JAVA_HOMEjrelibsecurity目錄下，是Java系統的CA證書倉庫，可以用 'alias' 來檢視證書是否真的匯入到JVM中
keytool -list -v [-alias clientCer] -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit
# 匯入新的CA到信任證書，匯入到 JRE的信任證書庫
## 常出現的異常：「未找到可信任的證書」  -- 主要原因為在使用者端未將伺服器下發的證書匯入到JVM中。
keytool -import -trustcacerts -alias clientCer -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit -file ~/ssl/client.cer

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="true" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"
    truststoreFile="~/ssl/truststore.jks" truststorePass="123456"
/>

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"（）
/>

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="true" sslProtocol="TLS"
    keystoreFile="~/ssl/tomcat.jks" keystorePass="123456"
    truststoreFile="~/ssl/truststore.jks" truststorePass="123456"
/>

<login-config> 
    <!-- Authorization setting for SSL --> 
    <auth-method>CLIENT-CERT</auth-method> 
    <realm-name>Client Cert Users-only Area</realm-name> 
</login-config> 
<security-constraint> 
    <!-- Authorization setting for SSL --> 
    <web-resource-collection > 
        <web-resource-name >SSL</web-resource-name> 
        <url-pattern>/*</url-pattern> 
    </web-resource-collection> 
    <user-data-constraint> 
        <transport-guarantee>CONFIDENTIAL</transport-guarantee> 
    </user-data-constraint> 
</security-constraint>