Tomcat9导入现有SSL证书启动报别名不识别密钥项问题咨询

报错核心是你生成的JKS文件中，pingfedcert别名对应的条目只有公钥证书，没有配套私钥，不符合Tomcat HTTPS连接器的启动要求。
你执行的keytool -importcert -file abc.crt命令，仅会将公钥证书作为「信任证书条目（trustedCertEntry）」导入keystore，这类条目只能用来做客户端证书信任校验，不能作为服务端SSL证书使用。Tomcat启动443端口的HTTPS连接器时，必须找到指定别名下的「私钥条目（PrivateKeyEntry）」才能完成SSL上下文初始化，因此直接抛出别名不对应密钥条目的错误。
另外要明确：单独的abc.crt公钥证书文件本身就无法独立支撑HTTPS服务端运行，你之前在Jboss上运行时，一定是有和该证书配套的私钥文件/私钥存储条目，只是迁移时没有一并导出。

你需要先获取和abc.crt配套的私钥，再重新生成符合要求的keystore，分两种常见场景处理：

场景1：你持有证书配套的私钥文件（通常为.key格式） #

• 第一步：将公钥证书和私钥打包为PKCS12格式中间文件，执行命令：

  openssl pkcs12 -export -in abc.crt -inkey abc.key -out temp.p12 -name pingfedcert
  

  执行过程中按提示设置temp.p12的访问密码，自行记录即可。
• 第二步：将PKCS12文件转换为Tomcat支持的JKS格式keystore，执行命令：

  keytool -importkeystore -deststorepass pingfed12 -destkeypass pingfed12 -destkeystore conf/xyz.jks -srckeystore temp.p12 -srcstoretype PKCS12 -srcstorepass 你上一步设置的p12文件密码 -alias pingfedcert
  

• 第三步：验证keystore条目类型，执行命令：

  keytool -list -v -keystore conf/xyz.jks -alias pingfedcert
  

  输出结果中如果显示Entry type: PrivateKeyEntry，说明keystore生成正确。

场景2：原Jboss使用JKS格式存储证书 #

直接将Jboss服务器上存储该证书的原JKS文件复制到Tomcat的conf目录即可，不需要单独导入crt文件，后续server.xml中配置的keystore密码、别名要和原Jboss中的配置保持完全一致。

server.xml配置注意事项 #

你当前的Connector配置基本可用，建议把keystoreFile改为绝对路径（比如Tomcat安装路径为/data/tomcat9时，写为keystoreFile="/data/tomcat9/conf/xyz.jks"），避免相对路径解析错误导致找不到keystore。如果你的证书是CA机构签发的，记得将CA提供的中间根证书一并导入到keystore的同一个别名下，避免部分客户端访问时提示证书不可信。

配置完成后重启Tomcat即可正常启动HTTPS服务。

内容的提问来源于stack exchange，提问作者Avinash