tomcat - 异常 : Public keys in reply and keystore don't match

Question

keytool -import -alias tomcat -keystore keystore.jks -file secure.mysite.com.crt

keytool error: java.lang.Exception: Public keys in reply and keystore don't match

我完全遵循了这份 Apple 技术说明中的说明。
<强> https://developer.apple.com/library/mac/technotes/tn2326/_index.html

这让我可以创建自己的 CA 身份，然后使用该 CA 为我的内部服务器颁发 SSL 证书(全部通过 Apple 的钥匙串(keychain)完成)。在服务器 (Tomcat 6) 上，我使用了 keytool进口.p12 (从 Apple 的钥匙串(keychain)导出)并将其合并到一个新的 .jks 中稍后在 Tomcat 中配置的 keystore 。一切正常。

但是我遇到的所有指南和文档，even the one from Tomcat itself ，比如说从 keytool 生成一个 CSR然后将 CA 的响应证书导入回 .jks .出于多种原因，我想通过证书签名请求方法来执行此操作，但我已经努力了几天才能使它正常工作。

我的步骤是:

• 按照第一个链接中的描述在 Apple 的钥匙串(keychain)上创建自己的 CA。

• 将自己的 CA 导出为 myCA.cer如第一个链接中所述。

• 来自 Tomcat 的服务器机器:
  keytool -genkey -alias tomcat -keyalg RSA -keystore keystore.jks
  密码: keystorepass
  租房者通行证:keystorepass
  名字和姓氏:secure.mysite.com
  其他信息:东西
  输入 <tomcat> 的 key 密码: key 存储

• keytool -certreq -alias tomcat -keyalg -RSA -keystore keystore.jks -file secure.mysite.com.csr

• 接下来我打开 Apple Keychain Access > Certificate Assistant > Create a Certificate For Someone Else as a Certificate Authority...

• 我拖动 secure.mysite.com.csr到所需区域
• 选择自己的CA，选择有效时间，提供证书信息
  通用名称: secure.mysite.com
  和其他信息
• 确保在扩展 key 使用扩展下启用SSL 服务器身份验证
• 确保 dNSName 是 secure.mysite.com在主题备用名称扩展下

• 现在我有 secure.mysite.com (证书和私钥)在我的钥匙串(keychain)中。

• 我导出 secure.mysite.com作为.p12 (如链接文档中所示)

• 然后我提取证书和 key :
  openssl pkcs12 -in secure.mysite.com.p12 -nokeys -out secure.mysite.com.crt
openssl pkcs12 -in secure.mysite.com.p12 -nocerts -nodes -out secure.mysite.com.key

• 最后，我尝试将证书导入回 keystore
  keytool -import -alias root -keystore keystore.jks -trustcacerts -file myCA.cer
  是否要相信:是
  一切顺利。

• keytool -import -alias tomcat -keystore keystore.jks -file secure.mysite.com.crt

keytool 错误:java.lang.Exception:回复中的公钥与 keystore 不匹配

我尝试过导入和不导入 myCA.cert .
我试过导出 secure.mysite.com直接从钥匙串(keychain)中 .cer格式。
多次从头开始这个过程。

我在这里错过了什么？

Answer 1

您需要按照根证书的顺序安装证书，然后是中间证书，最后是您自己的个人服务器 key 。您可以通过查看颁发给您的证书和信息来检查链的顺序。