如何找出我的 JVM 使用的密钥库？

Question

我需要将证书导入到我的 JVM 密钥库中。我正在使用以下内容：

keytool -import -alias daldap -file somecert.cer

所以我可能需要将我的呼叫更改为类似以下内容：

keytool -import -alias daldap -file somecert.cer -keystore cacerts –storepass changeit

Answer 1

您的密钥库将位于您的 JAVA_HOME--->;库--->安全--> cacerts。您需要检查 JAVA_HOME 的配置位置，可能是这些位置之一，

1. 计算机--->高级 -->环境变量---> JAVA_HOME

2. 您的服务器启动批处理文件。

在导入命令 -keystore cacerts 中（此处给出上述 JRE 的完整路径，而不仅仅是说 cacerts）。

Answer 2

密钥库位置

每个 keytool 命令都有一个 -keystore 选项，用于指定 keytool 管理的密钥库的持久密钥库文件的名称和位置。默认情况下，密钥库存储在用户主目录中名为 .keystore 的文件中，该文件由“user.home”系统属性确定。给定用户名 uName，“user.home”属性值默认为

C:\Users\uName on Windows 7 systems
C:\Winnt\Profiles\uName on multi-user Windows NT systems
C:\Windows\Profiles\uName on multi-user Windows 95 systems
C:\Windows on single-user Windows 95 systems

因此，如果用户名为“cathy”，“user.home”默认为

C:\Users\cathy on Windows 7 systems
C:\Winnt\Profiles\cathy on multi-user Windows NT systems
C:\Windows\Profiles\cathy on multi-user Windows 95 systems

https://docs.oracle.com/en/java/javase/17/docs/specs/man/keytool.html#importing-a-certificate-for-the-ca

Answer 3

Mac OS X 10.12 和 Java 1.8：

$JAVA_HOME/jre/lib/security

cd $JAVA_HOME

/Library/Java/JavaVirtualMachines/jdk1.8.0_40.jdk/Contents/Home

从那里开始：

./jre/lib/security

我在那里有一个 cacerts 密钥库。

要将其指定为 VM 选项：

-Djavax.net.ssl.trustStore=/Library/Java/JavaVirtualMachines/jdk1.8.0_40.jdk/Contents/Home/jre/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit

我并不是说这是正确的方法（为什么 java 不知道在 JAVA_HOME 中查找？），但这是我必须做的才能使其正常工作。

Answer 4

您可以在“Home”目录中找到它：

在 Windows 7 上：

C:\Users\<YOUR_ACCOUNT>\.keystore

在 Linux (Ubuntu) 上：

/home/<YOUR_ACCOUNT>/.keystore

Answer 5

这对我有用：

#! /bin/bash

CACERTS=$(readlink -e $(dirname $(readlink -e $(which keytool)))/../lib/security/cacerts)

if keytool -list -keystore $CACERTS -storepass changeit > /dev/null ; then
    echo $CACERTS
else
    echo 'Can not find cacerts file.' >&2
    exit 1
fi

仅适用于 Linux。我的 Solaris 没有阅读链接。最后我使用了这个 Perl 脚本：

#! /usr/bin/env perl
use strict;
use warnings;
use Cwd qw(realpath);
$_ = realpath((grep {-x && -f} map {"$_/keytool"} split(':', $ENV{PATH}))[0]);
die "Can not find keytool" unless defined $_;
my $keytool = $_;
print "Using '$keytool'.\n";
s/keytool$//;
$_ = realpath($_ . '../lib/security/cacerts');
die "Can not find cacerts" unless -f $_;
my $cacerts = $_;
print "Importing into '$cacerts'.\n";
`$keytool -list -keystore "$cacerts" -storepass changeit`;
die "Can not read key container" unless $? == 0;
exit if $ARGV[0] eq '-d';
foreach (@ARGV) {
    my $cert = $_;
    s/\.[^.]+$//;
    my $alias = $_;
    print "Importing '$cert' as '$alias'.\n";
    `keytool -importcert -file "$cert" -alias "$alias" -keystore "$cacerts" -storepass changeit`;
    warn "Can not import certificate: $?" unless $? == 0;
}

Answer 6

在 Debian 上，使用 openjdk 版本“1.8.0_212”，我在这里找到了 cacerts：

 /etc/ssl/certs/java/cacerts

如果有一个标准命令可以打印出此路径，那么当然会很方便。

Answer 7

正如 DimtryB 提到的，默认情况下密钥库位于用户目录下。但是，如果您尝试更新 cacerts 文件，以便 JVM 可以选择密钥，那么您必须更新 jre/lib 下的 cacerts 文件/安全。您还可以通过执行命令keytool -list -keystore cacerts来查看密钥，以查看您的证书是否已添加。

Answer 8

对于我使用官方 OpenJDK 12 Docker 映像来说，Java 密钥库的位置是：

/usr/java/openjdk-12/lib/security/cacerts

Answer 9

我在 Ubuntu 20.04 上使用以下命令找到了 JVM 密钥库：

echo $JAVA_HOME/lib/security/cacerts

输出：

/usr/lib/jvm/java-11-openjdk-amd64/lib/security/cacerts

此目录是指向以下内容的符号链接：

/etc/ssl/certs/java/cacerts

Answer 10

我们在从 jre 目录运行的 Tomcat 上遇到了此问题，该目录在自动 jre 更新后（几乎完全）被删除，因此运行的 jre 无法再找到 jre.../lib/security/cacerts，因为它不再存在。

重新启动 Tomcat（将配置更改为从不同的 jre 位置运行后）修复了该问题。

Answer 11

除了上面的所有答案之外：

如果更新 JRE 目录中的 cacerts 文件没有帮助，请尝试在 JDK 中更新它。

C:\Program Files\Java\jdk1.8.0_192\jre\lib\security