如何将Keystore、Truststore证书导入仅支持PEM格式的Azure Key Vault

报错原因说明 #

直接拼接两个文件报错的核心原因有两个：1. client.ks和client.ts不是标准PEM文本格式，大概率是二进制DER编码的证书/私钥文件；2. 拼接顺序不符合Azure要求，PEM文件需按「证书链→私钥」的顺序排列，不能颠倒。

操作步骤 #

1. 先确认两个文件的编码格式

• 执行cat client.ks，如果输出包含-----BEGIN PRIVATE KEY-----/-----BEGIN CERTIFICATE-----类的标识头，说明是PEM文本格式；如果输出是乱码，说明是二进制DER格式。
• 按同样方法检查client.ts的格式。

2. 二进制DER文件转PEM格式
   如果两个文件是DER编码，分别执行转换命令：

• 若client.ks为私钥文件：openssl rsa -inform DER -in client.ks -out client_key.pem
• 若client.ks为证书文件：openssl x509 -inform DER -in client.ks -out client_cert.pem
• 若client.ts为信任链/证书文件：openssl x509 -inform DER -in client.ts -out client_chain.pem

3. 拼接符合要求的PEM文件
   按「证书→证书链→私钥」的顺序拼接，不要调整顺序：
   cat client_cert.pem client_chain.pem client_key.pem > azure_import.pem

4. 验证PEM合法性
   执行命令验证格式有效性，无报错则说明格式正常：
   openssl x509 -in azure_import.pem -text -noout

特殊场景补充：如果client.ks是PKCS12密钥库 #

如果client.ks是PKCS12格式的密钥存储文件，先从库中导出证书和私钥再拼接：

• 导出私钥：openssl pkcs12 -in client.ks -nocerts -out client_key.pem -nodes
• 导出证书：openssl pkcs12 -in client.ks -nokeys -out client_cert.pem
• 再将client.ts的证书链内容追加到client_cert.pem后，按上面的步骤拼接私钥即可。

内容的提问来源于stack exchange，提问作者deltascience