导入CA签名的证书来替换服务器密钥库中的自签名证书。

Question

我有一个现有的服务器keystore。

keystore : server_keystore.jks. alias : abc CN : DNS1 SAN : DNS1, DNS2, DNS3。

要求将自签名证书替换为CA签名证书。

现在，我的团队中的另一个人为3台服务器各创建一个Keystore。

DNS1.jks DNS2.jks DNS3.jks

& 通过为每个DNS生成".csr "文件来创建一个证书签名请求。

现在我们从CA Authority收到3个CA签名的证书".cer "文件。

我把这三个.cer都导入到server_keystore.jks，作为可信的ca证书。

1. 根目录
2. 中级
3. CA用别名DNS1.cer签署了DNS1.cer。
4. CA用别名DNS2.cer签署了DNS2.cer。
5. CA用别名DNS3.cer签署了DNS3.cer。

Q1. 这个服务器的Keystore是否有效？

Q2. 客户端可以建立安全连接到我的服务器吗？

Q3. 我们如何将自签名的证书替换成CA签名的证书？是否使用相同的别名？

Answer 1

得到了答案.1.它不是一个有效的服务器Keystore，因为自签名的密钥对公共证书必须被替换为CA回复公共证书，然后只有服务器可以回复与CA签名的公共证书& 客户端可以验证CA签名的证书链到它的已知CA根。

2. 是的，但你需要明确地与客户端共享你的服务器公证书& 客户端需要将你的自签名证书添加到它的可信证书列表中。

3. 是的，你需要将密钥对中的自签名公证书替换为使用相同别名的CA签名公证书，该别名用于创建密钥对。

keytool -importcert -alias -file -keystore .jks -trustcacerts...