Tomcat9配置Windows-ROOT证书库报别名tomcat非密钥项错误

你的故障由两个核心配置/操作错误共同导致：

1. 证书存储位置选错
   SunMSCAPI 提供的Windows系统证书存储对应两类Keystore类型，用途有严格区分：
   • Windows-ROOT：映射「受信任的根证书颁发机构」存储，仅用来存放不带私钥的受信任CA根证书。虽然你用交互式启动的JShell能识别到导入的条目为key entry，但Tomcat初始化SSL上下文时，不会从该存储读取私钥用于服务端TLS握手，且以服务身份运行的Tomcat默认没有该存储下私钥的访问权限。
   • Windows-MY：映射「个人」存储，专门用于存放持有者持有对应私钥的证书（也就是部署HTTPS需要用到的服务器证书），是Tomcat调用Windows系统证书存储加载服务端证书的正确目标存储。
2. 运行权限不匹配
   你用JShell验证时，程序是以当前登录用户的身份运行的，有当前用户证书存储的完整访问权限；但Tomcat默认作为Windows服务运行时，使用的是Network Service或Local Service系统账户，如果把证书导入到当前用户的个人存储，或者导入后没给服务账户开放私钥读取权限，同样会读不到密钥条目。

• 清理错误导入的证书：打开证书管理器，删除之前导入到「受信任的根证书颁发机构」下别名为tomcat的证书，避免条目冲突。
• 导入证书到正确位置：按下Win+R输入certlm.msc回车，打开本地计算机账户的证书管理控制台，将PFX证书文件导入到「个人\证书」路径下，导入时可保留别名tomcat，建议勾选「标记此密钥为可导出」方便后续备份迁移。
• 配置私钥访问权限：在刚导入的tomcat证书上右键，选择「所有任务-管理私钥」，在权限配置窗口添加Tomcat服务运行所使用的账户（默认是Network Service），为其授予「读取」权限后保存。
• 修改Tomcat配置：将Connector下Certificate节点的certificateKeystoreType属性值从Windows-ROOT修改为Windows-MY，其余配置保持不变，保存server.xml后重启Tomcat服务即可正常启动。

修改配置前可调整之前的JShell测试代码，将Keystore实例化的类型参数改为Windows-MY，运行后确认能识别到tomcat为key entry，再启动Tomcat可减少重复排错成本。

内容的提问来源于stack exchange，提问作者NLInnett