使用keytool工具产生带根CA和二级CA的用户证书

1 生成根CA

1.1 生成根CA证书

根CA实际是一张自签CA，自签CA的使用者和颁发者都是它自己。使用下面的命令生成根证书，如果没有指定keystore则会使用默认在用户Home目录下的.keystore秘钥库（如果没有则会创建），输入秘钥库的密码，填写根证书的信息，最后填写根证书秘钥对的密码。

keytool -genkeypair -alias rootca -keyalg RSA

如图是我填写的根证书信息,根CA的名字叫rootca:

1.2 导出根CA证书

使用keytool的导出功能，从秘钥库中导出根证书，输入秘钥库的密码，导出的证书文件为rootca.cer命令如下：

keytool -exportcert -alias rootca -file rootca.cer

2 生成二级CA

2.1 生成二级CA证书

二级CA证书需要由根证书进行签发，首先需要使用keytool生成二级CA的证书，但是此时的证书还是张自签证书，我们需要从中生成一个二级CA的证书请求（包含了公钥），然后通过将证书请求到rootca签发我们的二级证书，然后我们在将rootca签发的二级CA证书导入到导出证书请求的秘钥库中，完成二级CA的生成。下面是生成二级CA证书命令，此时是张自签证书：

keytool -genkeypair -alias subca -keyalg RSA

下面是二级CA证书的信息，名字叫subca,如下图所示：

此时的证书颁发者和使用者都是自已，如下图所示：

2.2 从二级CA的秘钥对中生成证书请求

此时签的二级CA证书是一张自签证书，颁发者和使用者都是自身，我们需要从二级CA证书的keypair中导出证书请求，下面是导出证书请求（带公钥）的命令,subca是我们上面生成的二级CA的秘钥对名字，最终导出证书请求文件为subca.csr：

keytool -certreq -alias subca -file subca.csr

2.3 使用证书请求从根CA中签发证书

通过keytool工具的签发证书功能，使用rootca对二级CA的证书请求（subca.csr）签发一张证书。命令如下,alias指定证书的颁发者，infile指定证书请求文件，outfile是签发证书的名字：

keytool -gencert -alias rootca -infile subca.csr -outfile subca.cer

可以看到该证书的颁发者已经是rootca,rootca的主题是ChuanYeCA了：

2.4 导入二级CA到秘钥库中

此时需要将根CA签发的二级CA导入会秘钥库中，秘钥库中的秘钥对对应的自签证书将会更新问根CA签发的证书，导入的命令如下,subca之前用来生成证书请求的秘钥对名字：

keytool -importcert -alias subca -file subca.cer

此时查看一下秘钥库中的subca的秘钥对的证书的颁发者是roota了：

3 使用二级证书签发用户证书

3.1 生成用户证书

签发用户证书的流程与产生二级CA的过程是一样的，下面我们进行产生用户shayne的证书，将第2步中的所有rootca该为二级CA的subca,将subca变为shayne，先产生shayne的自签证书，命令如下：

keytool -genkeypair -alias shayne -keyalg RSA

3.2 导出用户证书请求

导出的命令如下：

keytool -certreq -alias shayne -file shayne.csr

3.3 用二级CA签发用户证书

签发的命令如下：

keytool -gencert -alias subca -infile shayne.csr -outfile shayne.cer

3.4 导如用户证书到秘钥库中

导如证书到秘钥库的命令如下：

keytool -importcert -alias shayne -file shayne.cer

查看我们的秘钥库中的用户的证书信息如下图:

查看证书文件如下图：

4 查看用户证书链

需要先将根证书和二级CA证书安装到本地电脑的证书信任库中，双击shayne.cer才能看到该证书是已被信任，而且能够看到如下图的证书链关系：

5 后记

默认的有效期是3个月的，例子中都没有设置有效期，所以签出来的证书都是3个月有效期的；如果需要签发比较长的有效期则在每一步产生密钥对和证书的操作都需要带上-validity指定有效期，特别注意签发的证书有效期不能超过CA证书的有效。下面举个例子，签发10年的CA证书，则命令如下：

#生成密钥对，指定有效期为3650，即10年
keytool -genkeypair -alias rootca -keyalg RSA -validity 3650