java - 使用 Java keytool 时如何将多个 key 用法添加到证书

Question

在使用 java keytool 生成证书时，我试图将多个 key 用法添加到证书中。它只拾取列出的最后一个。

keytool -genkeypair -keystore keystore.jks -validity 3650 -alias test 
        -keysize 2048 -keyalg RSA -storetype JKS 
        -ext KeyUsage=digitalSignature -ext KeyUsage=keyEncipherment 
         -ext KeyUsage=keyCertSign

文档说您可以多次使用 -ext 参数。我做错了什么？

Answer 1

-ext 可以多次给出，但不能用于同一类型的扩展名。你想要的是

keytool -genkeypair -keystore keystore.jks -validity 3650 -alias test 
    -keysize 2048 -keyalg RSA -storetype JKS 
    -ext KeyUsage=digitalSignature,keyEncipherment,keyCertSign

多个-ext用于分别定义不同类型的扩展。例如像这样:

keytool -genkeypair -keystore keystore.jks -validity 3650 -alias test
    -keysize 2048 -keyalg RSA -storetype JKS
    -ext KeyUsage=digitalSignature,keyEncipherment,keyCertSign
    -ext ExtendedKeyUsage=serverAuth,clientAuth
    -ext BasicConstraints=ca:true,PathLen:3
    -ext SubjectAlternativeName=DNS:foo.bar.com,EMAIL:foo@bar.com
    -ext CRLDistributionPoints=URI:http://foo.bar.com/ca.crl

这是一个人为的例子，但你明白了。