Tomcat配置SSL证书提示别名tomcat不识别密钥条目问题问询

问题核心原因 #

从你提供的keytool -list输出可以看到，别名为tomcat的条目类型为trustedCertEntry（仅包含公钥证书的信任条目），而Tomcat配置HTTPS需要密钥库中对应别名是包含私钥的PrivateKeyEntry类型，这就是报错的直接原因。

解决方案 #

步骤1：补全密钥库的私钥信息 #

你大概率是生成CSR拿到CA签发的证书后，仅导入了证书到新的密钥库，没有关联最初生成CSR时生成的私钥，按以下流程处理：

• 如果你还保留着最初生成CSR时的原始密钥库文件（即生成CSR前用来生成私钥的JKS文件，不是当前的ava_bankasia-bd_com.jks）：
  1. 先导入CA提供的根证书和中间证书：

  keytool -import -alias root -keystore 你的原始密钥库路径.jks -file 根证书文件路径.crt
  

  keytool -import -alias intermediate -keystore 你的原始密钥库路径.jks -file 中间证书文件路径.crt
  

  2. 再导入CA签发的域名证书，别名必须和你当初生成私钥时设置的别名一致（你配置中用的是tomcat）：

  keytool -import -alias tomcat -keystore 你的原始密钥库路径.jks -file 你的域名证书文件路径.crt
  

  3. 导入完成后验证条目类型，输出中tomcat条目应显示为PrivateKeyEntry即为正常：

  keytool -list -keystore 你的原始密钥库路径.jks
  

• 如果你已经丢失了最初生成CSR的原始密钥库，需要重新生成私钥和CSR，提交给CA重新签发证书后，再按上面的步骤导入所有证书。

步骤2：更新Tomcat配置 #

将server.xml中HTTPS连接器的keystoreFile参数修改为上面处理好的、包含PrivateKeyEntry的密钥库文件路径即可。

额外注意事项 #

• 确保密钥库的密码和密钥条目的密码保持一致，如果两者不同，需要在Connector配置中额外添加keyPass="你的密钥条目密码"参数。
• 你当前使用的org.apache.coyote.http11.Http11Protocol为BIO模式，性能较低，如果你使用的是Tomcat 8及以上版本，建议替换为org.apache.coyote.http11.Http11NioProtocol使用NIO模式，性能更好。

内容的提问来源于stack exchange，提问作者treeoid