Question

java的keytool是否有办法在SAN（主题备用名称）中使用通配符生成自签名证书？我正在使用此命令生成密钥库：

keytool -genkey -alias tomcat -storetype JKS -keyalg RSA -keysize 2048 -ext san=dns:*.example.com -keystore "path/to/my/keystore.jks" -validity 3650

但我得到IOException: DNSName components must begin with a letter

显然，SAN中的问题是*.example.com，但我没有看到为example.com子域生成自签名证书的其他方法。

根据this，它应该是可能的。这是我的语法错误，keytool中的错误，还是我误解了什么？

BTW，我正在使用JDK 1.8 update 60中的keytool

编辑我设法通过指定example.com并将SAN留空，通过keytool为所有CN=*.example.com子域生成自签名证书。尽管如此，我会将Omikron的答案视为已被接受（因为这是一个真正的答案，而不是绕过限制）。

Answer 1

Keytool在内部使用类sun.security.x509.DNSName来检查输入。 DNSName强制执行RFC 1034中指定的语法。引用它的Javadoc评论：

名称必须采用＆＃34;首选名称语法，＆＃34;由RFC指定 1034。

首选名称语法为：

<domain> ::= <subdomain> | " "
<subdomain> ::= <label> | <subdomain> "." <label>
<label> ::= <letter> [ [ <ldh-str> ] <let-dig> ]
<ldh-str> ::= <let-dig-hyp> | <let-dig-hyp> <ldh-str>
<let-dig-hyp> ::= <let-dig> | "-"
<let-dig> ::= <letter> | <digit>
<letter> ::= any one of the 52 alphabetic characters A through Z in
upper case and a through z in lower case
<digit> ::= any one of the ten digits 0 through 9

因此，根据这种语法，域名必须以字母（A-Z，a-z）开头。

较新的RFC（例如RFC 2181，RFC 1123）正在放宽这些限制，因此这可以被视为Java中的一个错误。已有几个相关的错误报告：

https://bugs.openjdk.java.net/browse/JDK-8016345
https://bugs.openjdk.java.net/browse/JDK-8007706

所以，答案是否定的，目前无法使用keytool创建通配符SAN扩展。

但您可以使用KeyStore Explorer来执行此操作。它基本上是带有GUI的keytool，并没有强制实施这些限制。

自签名证书：DNSName组件必须以字母开头

1 个答案: