SSL: файл CSR, созданный с помощью openSSL, и установка с помощью keytool

Question

Я создал CSR с командой openSSL и приобрел файлы crt.

openssl genrsa -out private-key.pem 2048 
openssl req -new -key private-key.pem -out csr.pem 

Будет ли ОК, чтобы установить это, используя keystore команду, как я не создан файл CSR с помощью Keytool (но создается с помощью OpenSSL)?

Другой вопрос: у меня есть три файла из доверенной компании, производящей сертификаты. Итак, как определить, какой из них является основным, корневым, промежуточным crt-файлами? Тип файла (root, intermediate) не упоминается в самом имени файла. Мне нужно запустить следующие команды на основе типа файла crt.

keytool -import -alias root -keystore tomcat.keystore -trustcacerts -file [name of the root certificate] 

keytool -import -alias intermed -keystore tomcat.keystore -trustcacerts -file [name of the intermediate certificate] 

keytool -import -alias tomcat -keystore tomcat.keystore -trustcacerts -file [name of the certificate] 

Answer 1

Будет ли ОК, чтобы установить это, используя команду хранилищу, как я не созданный файл CSR с помощью Keytool (но создается с помощью OpenSSL)?

Вам также придется импортировать закрытый ключ в хранилище ключей. В противном случае хранилище ключей будет бесполезным.

Есть два способа сделать это:

1. Создать PKCS # 12 файл с OpenSSL первым, а затем преобразовать этот файл JKS с Keytool (см here).
2. Используйте KeyStore Explorer, он имеет функции импорта/экспорта для форматов OpenSSL. Инструкции можно найти here.

Другой вопрос: у меня есть три файла из доверенной компании, производящей сертификаты. Итак, как определить, какой из них является основным, корневым, промежуточным crt-файлами?

Вы должны ознакомиться с содержанием сертификатов, особенно с их выдающимися именами (DN).

• Корневой сертификат ЦС всегда имеет идентичные объекты SubjectDN и эмитента.
• Промежуточное ЦС имеет адресное имя корневого ЦС в качестве его эмитента и другое имя домена.
• SSL-сертификат имеет промежуточную CA SubjectDN в качестве ее эмитента и доменное имя как часть его SubjectDN.

Команда OpenSSL для распечатки SubjectDN и EmersonDNDN зависит от формата файла сертификата (DER или PEM). DER - это двоичный формат, PEM - формат ASCII. Если вы не уверены, попробуйте как:

openssl x509 -noout -subject -issuer -nameopt RFC2253 -inform DER -in <cert-file> 

или

openssl x509 -noout -subject -issuer -nameopt RFC2253 -inform PEM -in <cert-file>