最近我们公司正在从 LDAP 迁移到 LDAPS。
我们有一个应用程序 (OBIEE)，它在以 Unix 作为操作系统的 Weblogic 上运行。提供给我的说明表明使用 java keytool 命令导入证书。
我们的管理员向我发送了一个 *.pfx 文件以导入我们的服务器。经过一番谷歌搜索后，它看起来像一个 *.pfx 文件可以包含一些证书。
我想出了如何提取证书，但现在我的问题是如果我需要导入证书，我可以使用 keytool 导入 *.pfx 文件吗？
从我所看到的示例中，它听起来不像是可以的，因此导致我提取了单个证书。但这引出了我的第二个问题，即
如果我有多个从 *.pfx 中提取的证书，我是否要导入所有证书？还是只是根？
不熟悉这类事情，任何建议将不胜感激。
【问题讨论】：
我发现最简单的方法是使用下面的keytool 命令将.pfx 转换为jks 密钥库。生成的密钥库将包含 pfx 文件中的私钥和证书：
keytool -importkeystore -srckeystore [pfx_to_convert.pfx] -srcstoretype pkcs12 -destkeystore [identity.jks] -deststoretype JKS
系统将提示您输入要为目标密钥库设置的密码，当然还有您的 pfx 文件的密码。
此解决方案在此博客文章的末尾提出： https://blogs.oracle.com/blogbypuneeth/post/steps-to-create-a-jks-keystore-from-pfx-file
现在您可以配置 Weblogic 以使用您刚刚创建的 [identity.jks] 密钥库
https://docs.oracle.com/middleware/12213/wls/SECMG/identity_trust.htm#SECMG793
设置密钥库后，为了配置 SSL 部分，您需要从密钥库中检索私钥的别名：
keytool -v -list -storetype jks -keystore [identity.jks]
[...]
Alias name: randomaliasnameformykey
Creation date: xxxx
Entry type: PrivateKeyEntry
在输出的开头，您应该看到PrivateKeyEntry 类型的条目。然后，您可以使用别名填写您的 Weblogic SSL 配置的私钥别名字段。
【讨论】：
*.pfx 类似于其他格式，例如*.cert 或 *.crt 除了它还包含 私钥 （通常作为 AD/LDAP 服务器的客户端，您不需要它，除非您希望您的应用程序针对 AD 进行身份验证鉴于此私钥是为您的应用程序生成的）。
因此您不需要导入所有证书，只需导入服务器证书，以便您的应用程序可以信任 AD/LDAP 服务器。
openssl pkcs12 -in myfile.pfx -out mycerts.crt -nokeys -clcerts
*.crt 转换为*.cer
openssl x509 -inform pem -in mycerts.crt -outform der -out mycerts.cer
*.cer 文件导入您的JRE cacerts 密钥库文件。keytool -import -trustcacerts -alias ldap -file mycerts.cer -keystore /paht/to/your/jre/lib/security/cacerts
注意：您可以跳过第 2 步，直接将 *.crt 文件格式导入您的 Keystore cacerts 文件。
【讨论】：