如何用KeyTool导入PFX时设置别名密码与密钥库密码一致

我们在产品部署中用Keystore Explorer管理证书，现在想把繁琐的安装流程自动化，卡在了证书处理环节：

• 支持两种证书导入场景：客户提供的内部CA签发的*.pfx文件，或是我们自行生成的自签名证书，最终都要导入到指定keystore文件中
• 用KeyTool生成自签名证书的流程一切正常，但导入客户提供的PFX文件后，服务启动失败
• 排查发现：手动通过Keystore Explorer导入时，会把新别名的密码设成和密钥库密码一致；但用脚本导入时，别名密码直接沿用了PFX文件本身的密码，导致服务无法读取私钥，手动将别名密码修改为和密钥库密码一致后，服务恢复正常

解决方案 #

要让导入后的别名密码与密钥库密码（$myPwd）一致，只需在原有KeyTool命令中添加目标密钥密码参数 -destkeypass $mypwd。修改后的完整脚本如下：

$pfxName = "要导入的PFX文件路径"
$pfxPwd = "PFX文件的密码"
$keystore = "目标密钥库文件路径"
$pfxAlias = "PFX文件中的证书别名"
$mypwd = "密钥库的密码"
$serverFullNameValue = "导入后的新别名"

keytool -importkeystore -srckeystore $pfxName -srcstoretype PKCS12 -srcstorepass $pfxPwd -destkeystore $keystore -srcalias $pfxAlias -destalias $serverFullNameValue -storepass $mypwd -destkeypass $mypwd

参数说明 #

• -destkeypass：指定导入到目标密钥库后，该别名对应的私钥密码
• 默认情况下KeyTool会沿用源PFX文件的私钥密码，添加该参数后会强制将别名密码设置为与密钥库密码一致的$myPwd，确保服务能正常读取私钥

内容的提问来源于stack exchange，提问作者Christopher Cass