Java Keytool的收益“密钥库密码不正确”试图将PKCS12导入JKS

Question

我知道这个问题看起来像是一个已知的问题（这里有很多问题），在不同的JDK版本上已经报道了一些错误，并且在这篇文章中总结了情况： https://stackoverflow.com/a/72501767

我碰巧陷入了我认为是另一种情况，尚未回答的情况。我一定做错了什么，但是我看不到什么。

我有一个以PEM格式的证书和私钥，我想从中创建一个JK。我读到可能不再需要JKS格式，但是我不控制该部分。

我处理命令行中的文件。事情像这样，没什么特别的，也没有深奥的：

openssl pkcs12 -export -in cert.crt -passout pass:changeit -inkey pkey.key -out keystore.p12

keytool -importkeystore -srckeystore  keystore.p12 -srcstoretype PKCS12 -srcstorepass changeit -deststorepass changeit -destkeystore keystore.jks

我得到了：

Importing keystore keystore.p12 to keystore.jks...
keytool error: java.io.IOException: keystore password was incorrect

现在，我已经尝试了许多版本的JDK尝试过，而且它永远不会成功。

事实：

• 输入文件都是正确的（使用openssl x509 -in cent.crt -text -noout和openssl rsa -in in pkey.key.key -text -noout
• ）可以使用OpenSSL检查生成的PKCS12：openssl pkcs12 -in keystore.p12 -info -NOOUT -PASPIN PASS：ChangeIt
• Ubuntu 22.04，Openssl V3（OpenSSL 3.0.2 2022年3月15日（库：OpenSSL 3.0.2 15 Mar 2022）

，我以为我偶然发现了 已知的JDK问题上

在

• 。 “ 11.0.15” 2022-04-19
• OpenJDK版本“ 17.0.3” 2022-04-19
• OpenJDK版本“ 18-ea” 2022-03-22

最后，我也可以尝试以下组合：OpenSSL 1.1.1.1n + OpenJDK 11.0.15产生相同的错误。 我尝试过的所有JDK均高于版本11.0.12。

我被困和绝望，花了太多时间在这方面。 （根据记录，我尝试设置Bitnami KeyCloak图表，其中包含PEM证书的现有秘密，以及负责导入其失败的容器。我试图手动执行相同的操作，在这里我是）。

编辑：

感谢Dave_thompson_085的建议。这是键盘错误的回溯：

java.io.IOException: keystore password was incorrect
    at java.base/sun.security.pkcs12.PKCS12KeyStore.engineLoad(PKCS12KeyStore.java:2158)
    at java.base/sun.security.util.KeyStoreDelegator.engineLoad(KeyStoreDelegator.java:226)
    at java.base/java.security.KeyStore.load(KeyStore.java:1503)
    at java.base/sun.security.tools.keytool.Main.loadSourceKeyStore(Main.java:2319)
    at java.base/sun.security.tools.keytool.Main.doCommands(Main.java:1234)
    at java.base/sun.security.tools.keytool.Main.run(Main.java:416)
    at java.base/sun.security.tools.keytool.Main.main(Main.java:409)
Caused by: java.security.UnrecoverableKeyException: failed to decrypt safe contents entry: java.security.cert.CertificateParsingException: Empty issuer DN not allowed in X509Certificates

以及OpenSSL PKCS12 -Info的输出：

MAC: sha256, Iteration 2048
MAC length: 32, salt length: 8
PKCS7 Encrypted data: PBES2, PBKDF2, AES-256-CBC, Iteration 2048, PRF hmacWithSHA256
Certificate bag
PKCS7 Data
Shrouded Keybag: PBES2, PBKDF2, AES-256-CBC, Iteration 2048, PRF hmacWithSHA256

我将遵循该邪恶的java.security.cert.certificateparsingexception的邪恶的路径：x509certificates dn不允许/代码>消息...

Answer 1

多亏了 @dave_thompson_085的评论，我可以将-j-showversion flag在keytool -importkeystore命令中使用，并从该Java工具中获取有用的消息。

从我的帖子中的回溯中可以看到，结果消息 是X509Certificates 例外的更深层的结果，是一个更深的。错误消息非常误导，使我失去了时间。

我的问题来自如何宣布我的KeyCloak证书的发行人。我已经提到“ nofollow noreferrer”> cert-manager文档我的问题，KeyCloak终于接受了我的PEM作为创建密钥库的输入。

谢谢，最好的问候，

皮埃尔