持有含L1K证书的IIS PFX，生成L1M的CSR并适配Tomcat证书导入咨询

我来帮你搞定这个从IIS迁移到Apache Tomcat的证书方案，分三个核心步骤推进，确保生成的L1M证书既能满足CSR申请要求，又能顺利适配Java密钥库：

首先你需要用OpenSSL工具（跨平台可用，比Windows自带工具更灵活）从现有PFX里导出私钥，再生成符合L1M要求的CSR：

• 导出未加密的私钥（输入PFX的保护密码即可）：

  openssl pkcs12 -in your-existing-l1k-cert.pfx -nocerts -out private-key.pem -nodes
  

• 生成CSR：如果你的L1M证书需要包含多域名（SAN），先创建一个配置文件san.cnf（示例内容如下），否则直接用基础命令：

  [req]
  req_extensions = v3_req
  distinguished_name = req_distinguished_name
  [req_distinguished_name]
  [v3_req]
  subjectAltName = @alt_names
  [alt_names]
  DNS.1 = your-primary-domain.com
  DNS.2 = your-secondary-domain.com # 按需添加更多域名
  

  带SAN的CSR生成命令：

  openssl req -new -key private-key.pem -out l1m-cert.csr -config san.cnf
  

  基础CSR生成命令（仅单域名）：

  openssl req -new -key private-key.pem -out l1m-cert.csr
  

  注意： 生成时输入的信息（国家、组织、CN域名等）必须严格匹配L1M证书颁发机构的要求，CN要和你的服务域名完全一致。

CA颁发L1M证书后，通常会给你三个文件：证书文件（l1m-cert.pem）、中间链证书（chain.pem）、根证书（部分CA会包含在chain里）。我们先打包成PKCS12格式（Java对这个格式兼容性更好），再转成JKS或者直接用PKCS12（Tomcat 8.5+支持直接用PKCS12作为密钥库）：

• 打包成PKCS12文件（设置别名tomcat方便后续Tomcat识别，输入新的保护密码）：

  openssl pkcs12 -export -in l1m-cert.pem -inkey private-key.pem -certfile chain.pem -out l1m-cert.p12 -name tomcat
  

• （可选）转成JKS格式（适配旧版Tomcat）：

  keytool -importkeystore -srckeystore l1m-cert.p12 -srcstoretype PKCS12 -destkeystore l1m-keystore.jks -deststoretype JKS
  

• 验证密钥库有效性（确保证书已正确导入）：

  # 验证PKCS12
  keytool -list -v -keystore l1m-cert.p12 -storetype PKCS12
  # 验证JKS
  keytool -list -v -keystore l1m-keystore.jks
  

修改Tomcat安装目录下conf/server.xml中的SSL Connector节点，根据你用的密钥库类型选择配置：

• 用PKCS12密钥库的配置：

  <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
             maxThreads="150" SSLEnabled="true">
      <SSLHostConfig>
          <Certificate certificateKeystoreFile="conf/l1m-cert.p12"
                       type="RSA"
                       certificateKeystorePassword="your-p12-password"/>
      </SSLHostConfig>
  </Connector>
  

• 用JKS密钥库的配置：

  <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
             maxThreads="150" SSLEnabled="true">
      <SSLHostConfig>
          <Certificate certificateKeystoreFile="conf/l1m-keystore.jks"
                       type="RSA"
                       certificateKeystorePassword="your-jks-password"/>
      </SSLHostConfig>
  </Connector>
  

额外注意事项：

• 确保OpenSSL版本在1.1.1及以上，避免兼容性问题；
• 中间链证书必须完整导入，否则浏览器会提示证书不信任；
• 重启Tomcat后，用浏览器访问你的服务URL，检查证书详情确认是L1M证书，且无安全警告。

内容的提问来源于stack exchange，提问作者user1698161