如何把Pem证书转成Tomcat使用的Keystore并安装

以下是将PEM证书转换为Tomcat使用的Keystore并安装的详细教程：

一、前提条件

1.确保已经安装了Java Development Kit (JDK)，因为转换过程需要使用JDK中的keytool命令。

2.拥有有效的PEM证书文件（通常包括证书文件.crt 和私钥文件.key）以及可能的证书链文件（如果存在）。

二、转换步骤

1.检查PEM证书文件结构

  • 如果你的PEM证书文件包含私钥和证书在同一个文件中（例如，以 -----BEGIN PRIVATE KEY----- 和 -----BEGIN CERTIFICATE----- 开头），则可以直接进行下一步。
  • 如果私钥和证书是分开的文件，需要先将它们合并成一个文件。使用文本编辑器创建一个新的文件（例如，combined.pem），并按照以下顺序将内容复制进去：

   - 私钥内容（-----BEGIN PRIVATE KEY----- 到 -----END PRIVATE KEY-----）

   - 证书内容（-----BEGIN CERTIFICATE----- 到 -----END CERTIFICATE-----）

   - 如果有证书链文件，按照顺序依次将证书链中的证书内容复制进去。

2.生成Keystore文件

  • 打开命令提示符（Windows）或终端（Linux/Mac），切换到包含PEM证书文件的目录。
  • 使用以下 keytool 命令生成 Keystore 文件：
keytool-importkeystore-srckeystore combined.pem-srcstoretype PKCS12-destkeystore tomcat.keystore-deststoretype JKS
  • 命令解释：

   - -importkeystore：表示导入密钥库操作。

   - -srckeystore combined.pem：指定源密钥库为我们之前合并或本身就是一体的PEM文件。

   - -srcstoretype PKCS12：指定源文件的类型为PKCS12（因为我们合并后的文件类似PKCS12格式）。

   - -destkeystore tomcat.keystore：指定生成的目标 Keystore 文件名为 tomcat.keystore。

   - -deststoretype JKS：指定目标密钥库类型为JKS（Tomcat 常用的密钥库类型）。

  • 执行命令后，会提示输入源密钥库密码（如果PEM文件有密码保护）以及目标密钥库密码（新生成的Keystore文件密码，记住这个密码，Tomcat配置时会用到），并确认密码。

三、在Tomcat中安装Keystore

1.找到Tomcat的配置文件 server.xml，通常位于Tomcat安装目录的 conf 文件夹下。

2.在 server.xml 文件中找到以下的 Connector 配置部分（如果不存在则添加）：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"           maxThreads="150" SSLEnabled="true">    <SSLHostConfig>        <Certificate certificateKeystoreFile="conf/tomcat.keystore"                     certificateKeystorePassword="your_keystore_password"                     type="RSA" />    </SSLHostConfig></Connector>
  • 其中：

   - port="443"：指定Tomcat使用SSL的端口为443（默认的HTTPS端口），你可以根据实际需求修改。

   - certificateKeystoreFile="conf/tomcat.keystore"：指定Keystore文件的路径，这里假设将 tomcat.keystore 放在Tomcat的 conf 目录下，如果在其他位置则修改路径。

   - certificateKeystorePassword="your_keystore_password"：填写之前生成Keystore文件时设置的密码。

3.保存 server.xml 文件后，启动Tomcat服务器。此时，Tomcat应该已经配置为使用转换后的Keystore进行SSL加密通信，你可以通过 https://your_domain_name 来访问Tomcat应用，浏览器应该会显示安全连接的标识。

注意：在实际生产环境中，还需要考虑证书的有效期、密钥强度等安全因素，并定期更新和维护证书和Keystore文件。


Dogssl.cn拥有20年网络安全服务经验，提供构涵盖国际CA机构Sectigo、Digicert、GeoTrust、GlobalSign，以及国内CA机构CFCA、沃通、vTrus、上海CA等数十个SSL证书品牌。全程技术支持及免费部署服务，如您有SSL证书需求，欢迎联系!

8 人参与
时间：2025-05-21 03:14:52