建立第一張伺服器端憑證(JKS)

憑證不是自己說了算的,必須要有第三方公證單位認證,你的憑證在網際網路上傳輸才算是有效、有義意的。所以才會有VeriSign、HiTrust...等公證單位核發電子憑證，但每年都得花費一些小朋友。
所以可以參照設定憑證認證(CA)環境建置自己的認證單位，這麼一來就可以省一些小朋友了，呵呵...不過對方也要信得過你建置的認證單位...自己用就沒有差別啦..。

1. 產生 service 的 private key 及 public key , 設定憑證有效期限為 3650 天(10年), 也應該夠久啦...
keytool -genkeypair -alias service \
-keypass service -validity 3650 \
-keystore /root/JKS/service.jks \
-storepass service \
-dname "CN=Service, OU=Develop, O=AlexCA, L=Taipei, ST=Taiwan, C=TW"

2. 產生 service 向 RootCA 提出認證需求檔(Certificate Request File)
keytool -certreq -keystore /root/JKS/service.jks \
-keypass service -storepass service \
-alias service -file /root/CSR/service.csr -validity 3650

3. 產生 RootCA 認證過的 X509 憑證資料(透過RootCA的private key產生service的public key
openssl ca -days 3650 -key rootca123 -batch \
-out /root/PEM/service.pem -infiles /root/CSR/service.csr

4. 轉換 X509 至 DER 格式
openssl x509 -outform DER -in /root/PEM/service.pem -out /root/CER/service.cer

5. 將 ca 認證過的 public key 匯入 service.jks 憑證中
keytool -importcert -noprompt -file /root/RootCA/cacert.pem \
-keystore /root/JKS/service.jks -storepass service -alias ca


完工...待續..