如何创建含client cert.pem和key.pem的BCFKS？命令存密钥失败且常挂起

我来帮你搞定这个事儿——你之前用的keytool -import确实只能导入证书，没法处理私钥，而且命令挂起的问题大概率和BouncyCastle FIPS Provider的配置或者JDK兼容性有关。咱们一步步来解决：

步骤1：将PEM证书和私钥转换为PKCS#12格式 #

因为keytool没法直接导入PEM格式的私钥，所以先把证书和私钥打包成PKCS#12格式的临时密钥库，用openssl命令就行：

openssl pkcs12 -export -in client_cert.pem -inkey key.pem -out client_temp.p12 -name client-alias -password pass:test123

参数说明：

• -in：指定你的客户端证书文件（client cert.pem）
• -inkey：指定对应的私钥文件（key.pem）
• -out：输出的PKCS#12文件名称
• -name：给这个证书/密钥对设置一个别名（后续导入BCFKS时会用到）
• -password：设置PKCS#12文件的密码（和后续BCFKS的密码可以一致，方便管理）

步骤2：将PKCS#12文件导入BCFKS密钥库 #

用keytool的-importkeystore命令完成跨类型密钥库的导入，这一步能同时把证书和私钥导入BCFKS：

keytool -importkeystore \
  -srckeystore client_temp.p12 \
  -srcstoretype PKCS12 \
  -srcstorepass test123 \
  -destkeystore bcfipsKeyStore-1.bcfks \
  -deststoretype BCFKS \
  -deststorepass test123 \
  -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider \
  -providerpath /usr/lib/jvm/java-1.7.0-openjdk-1.7.0.141-2.6.10.5.el7.x86_64/jre/lib/ext/bc-fips-1.0.1.jar

这个命令会把PKCS#12里的密钥对完整导入到BCFKS密钥库中，解决你之前只能导入证书的问题。

解决命令挂起的问题 #

你在RedHat上遇到的挂起情况，试试这几个排查方向：

• 检查JDK版本兼容性：BC FIPS 1.0.1要求JDK 7至少是Update 151以上版本，你的OpenJDK 7u141可能版本偏低，建议升级到符合要求的JDK版本，或者确认是否安装了JCE无限制强度策略文件（FIPS模式需要强加密支持）。
• 添加调试参数：在keytool命令末尾加上-debug，看看命令执行时卡在哪个环节，方便定位问题：

  keytool -importkeystore ... -debug
  

• 检查文件权限：确保你有读取bc-fips-1.0.1.jar的权限，以及写入目标BCFKS文件的权限。
• 用strace追踪系统调用：RedHat上可以用strace命令查看命令执行时的系统操作，定位是否卡在IO或其他系统调用上：

  strace keytool -importkeystore ...
  

验证导入结果 #

导入完成后，用以下命令确认密钥库内容，如果你能看到类型为PrivateKeyEntry的条目，就说明证书和私钥都成功导入了：

keytool -list \
  -keystore bcfipsKeyStore-1.bcfks \
  -storetype BCFKS \
  -storepass test123 \
  -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider \
  -providerpath /usr/lib/jvm/java-1.7.0-openjdk-1.7.0.141-2.6.10.5.el7.x86_64/jre/lib/ext/bc-fips-1.0.1.jar

内容的提问来源于stack exchange，提问作者user3563550