如何从多证书.pfx提取CA证书并添加到信任库以连接IBM i？

一、从PFX文件中提取目标CA证书 #

由于keytool对部分PFX格式支持有限，优先用OpenSSL操作：

1. 列出PFX内所有证书，定位目标CA
   执行命令查看PFX中的证书详情，找到对应IBM i服务器证书的签发CA：

   openssl pkcs12 -in your_file.pfx -nokeys -info
   

   输出中会逐段显示证书的Subject和Issuer信息：

   • 目标CA证书的Subject与Issuer通常一致（自签CA）；如果是多级CA，需找到服务器证书Issuer字段匹配的那项。
   • 记录该CA证书的别名（Alias name字段）或索引（openssl输出中证书的顺序从0开始计数）。

2. 提取目标CA证书到PEM文件

   • 若已知别名，执行：

     openssl pkcs12 -in your_file.pfx -nokeys -clcerts -alias "your_ca_alias" -out target_ca.crt
     

   • 若用索引提取（比如第2个证书，索引为1），执行：

     openssl pkcs12 -in your_file.pfx -nokeys -clcerts -index 1 -out target_ca.crt
     

   执行时需输入PFX文件的密码。

二、将CA证书导入Java信任库 #

可选择导入系统级信任库（如jssecacerts）或自定义信任库：

选项1：导入到系统级jssecacerts（推荐） #

jssecacerts是JVM优先加载的安全信任库，若不存在可从默认cacerts复制生成：

cp $JAVA_HOME/jre/lib/security/cacerts $JAVA_HOME/jre/lib/security/jssecacerts

默认密码为changeit，执行导入命令：

keytool -importcert -file target_ca.crt -alias ibmi_ca -keystore $JAVA_HOME/jre/lib/security/jssecacerts -storepass changeit

出现提示“是否信任此证书?”时，输入yes确认。

选项2：创建并导入自定义信任库 #

适合不想修改系统级配置的场景：

keytool -importcert -file target_ca.crt -alias ibmi_ca -keystore my_truststore.jks -storepass your_custom_password

三、验证证书导入结果 #

执行命令确认信任库中已存在目标CA证书：

# 验证系统级jssecacerts
keytool -list -keystore $JAVA_HOME/jre/lib/security/jssecacerts -alias ibmi_ca -storepass changeit

# 验证自定义信任库
keytool -list -keystore my_truststore.jks -alias ibmi_ca -storepass your_custom_password

输出中显示证书信息则说明导入成功。

四、配置JVM加载信任库 #

• 使用系统级jssecacerts：JVM默认会优先加载该库，无需额外配置，直接运行Java程序即可。
• 使用自定义信任库：启动Java程序时添加JVM参数指定信任库路径和密码：

  java -Djavax.net.ssl.trustStore=./my_truststore.jks -Djavax.net.ssl.trustStorePassword=your_custom_password YourMainClass
  

关于keytool提示“密钥库中无条目”的说明 #

该问题通常是因为PFX文件中的证书存储在certBag而非keyBag结构中，keytool对这种格式的识别存在局限，用OpenSSL提取证书是可靠的替代方案。

内容的提问来源于stack exchange，提问作者tarekahf