p7b证书转换为p12格式报私钥不匹配错误的解决方法

报错原因 #

执行pkcs12导出命令时提示No certificate matches private key，核心原因是从p7b导出的cer文件里证书顺序错误：openssl导出p12时默认只会匹配传入证书文件中第一个证书和私钥的对应关系，如果文件开头是CA中间证书/根证书，而非你自己的终端用户证书，就会触发这个报错。另外部分p7b文件是DER二进制格式，之前的转换命令没指定格式，也可能导致导出的证书内容异常。

正确操作步骤 #

• 第一步：将p7b文件转换为包含完整证书链的PEM文件
  绝大多数CA返回的p7b都是二进制DER格式，执行命令：

  openssl pkcs7 -in certificate.p7b -inform DER -print_certs -out full_chain.pem
  

  如果执行上面的命令报格式错误，说明p7b是PEM格式，去掉-inform DER参数重新执行即可。
• 第二步：调整证书顺序
  打开生成的full_chain.pem，你会看到多段以-----BEGIN CERTIFICATE-----开头、-----END CERTIFICATE-----结尾的证书内容。把和手里key.pem配对的终端用户证书，移动到整个文件的最开头，剩下的中间CA证书、根证书按原有顺序放在后面即可。
  可以通过modulus哈希值快速定位匹配的证书：
  1. 先查私钥的哈希值，执行后返回一串md5值，记下来：

     openssl rsa -in key.pem -noout -modulus | openssl md5
     

  2. 把full_chain.pem里的每段证书单独复制存成临时文件，逐个执行下面的命令查哈希值，和私钥哈希一致的就是你的用户证书：

     openssl x509 -in 临时证书文件路径 -noout -modulus | openssl md5
     

• 第三步：导出p12格式证书
  确认证书顺序调整正确后，执行导出命令：

  openssl pkcs12 -export -out certificate.p12 -inkey key.pem -in full_chain.pem
  

  按提示设置p12文件的保护密码，执行完成后就会生成可用的p12证书文件。

注意：不要删除用户证书以外的其他证书，保留完整证书链可以避免后续使用p12时出现证书不信任的问题。

内容的提问来源于stack exchange，提问作者Abhishek Parmar