如何使用keytool设置Usage属性

Question

当我查看java.security.cert中的X509certificate类时，它有一个方法，如getExtendedKeyUsage()和getKeyUsage()。有没有办法使用keytool设置这些值？

Answer 1

keytool in Java 7有一个新的-ext选项。请查看-ext文档下的表格，尤其是KU和EKU选项。

请注意，您通常可以使用Java 7 keytool生成/处理的密钥库以及其他版本的JRE（包括Java 6）。

当然，这只适用于您生成的证书请求（在这种情况下，您使用的CA可能会选择忽略或更改您CSR的某些内容）或您签发的证书（即您所在的CA） 。您将无法更改现有证书。

Answer 2

如果有，我从未见过它，我只是用JDK检查过（虽然极不可能）。请注意，密钥用法应该是签名属性（以及关键扩展），因此更改它通常不起作用，因为它会破坏颁发CA的结构。它可以针对特定应用程序进行更改（并且属性单独存储，但这不是Java密钥库中的函数，并且不会因为它与X509标准不兼容。

Answer 3

该选项似乎是keytool -ext EKU = codeSigning 但我还没有亲自尝试过。