• ホーム
• 暗号技術
• プログラミング

鍵と証明書の管理ツール (keytool)

keytool は、鍵と証明書を管理するための Java SDK に付属するユーティリティーです．keytool を使うことにより，公開鍵と秘密鍵のペアの生成や関連する証明書を管理できます．また，共通鍵暗号で使用される秘密鍵の管理，ディジタル署名を使った自己認証，および証明書に関するサービスなどが利用可能になります（詳細は，keytool 参照）．

keytool コマンドの概要

• コマンドの一般形式
  

    keytool command [ options ]
  

  • 全てのコマンド名およびオプション名には先頭にマイナス記号 (-) が付く．
  • 各コマンドのオプションは任意の順序で指定できる．
• 一般オプション
  
  • -v
    コマンドが「冗長」モードで実行され，詳細な証明書情報が出力される．
  • -Jjavaoption
    指定された javaoption 文字列が Java インタプリタに直接渡される．
  • -storetype storetype
    インスタンスを生成するキーストアのタイプを指定する（デフォルト：セキュリティプロパティファイルの keystore.type プロパティの値で，java.security.KeyStore の静的な getDefaultType メソッドから返される値）．
  • -keystore keystore
    キーストア（鍵データベース）の場所を指定する（デフォルト：.keystore）．
  • -storepass storepass
    キーストアを保護するためのパスワードを指定する．
  • -providerName provider_name
    セキュリティプロパティファイル内に含まれる暗号化サービスプロバイダ名を指定する．
  • -providerClass provider_class_name
    暗号化サービスプロバイダがセキュリティプロパティファイルに指定されていないとき，そのマスタークラスファイルの名前を指定する．
  • -providerArg provider_arg
    -providerClass と組み合わせて使用する．provider_class_name のコンストラクタに対する省略可能な文字列入力引数を指定する．
  • -protected
    true または false のいずれかを指定する．専用 PIN リーダーなどの保護された認証パスを介してパスワードを指定する必要がある場合，true を指定する（デフォルト：false）．
• オプションのデフォルト値
  • -alias
    別名："mykey"
  • -keyalg
    鍵生成アルゴリズム：
    　"DSA" (-genkeypair を使用している場合)
    　"DES" (-genseckey を使用している場合)
  • -keysize
    鍵長（ビット）：
    　1024 (-genkeypair を使用している場合)
    　56 (-genseckey を使用していて -keyalg が "DES" の場合)
    　168 (-genseckey を使用していて -keyalg が "DESede" の場合)
  • -validity
    証明書の有効日数： 90
  • -file
    入出力ファイル名： 読み込みの場合は標準入力，書き込みの場合は標準出力

コマンド

以下のコマンド形式において，省略可能な一般オプションは除いてある．

オプションを囲む中括弧は，一般にそのオプションをコマンド行で指定しなかった場合に，デフォルト値が使われることを意味する．また，オプションを囲む角括弧は，そのオプションをコマンド行で指定しなかった場合に値の入力を求められることを意味する．

• -genkeypair
  

    -genkeypair {-alias alias} {-keyalg keyalg} {-keysize keysize}
     {-sigalg sigalg} [-dname dname] [-keypass keypass]
     {-validity valDays} [-storepass storepass]
  

  鍵ペア (公開鍵と秘密鍵) を生成する．公開鍵は X.509 v3 自己署名証明書でラップされる．証明書は，単一の要素を持つ証明書チェーンとして格納される．この証明書チェーンと秘密鍵は，alias で特定される新しいキーストアエントリに格納される．
• -genseckey
  

    -genseckey {-alias alias} {-keyalg keyalg} {-keysize keysize}
     [-keypass keypass] [-storepass storepass]
  

  秘密鍵を生成し，alias で指定される新しいキーストア内に格納する．
• -importcert
  

    -importcert {-alias alias} {-file cert_file} [-keypass keypass]
     {-noprompt} {-trustcacerts} [-storepass storepass]
  

  ファイル cert_file から証明書または証明書チェーン (証明書チェーンの場合は，PKCS#7 形式の応答で提供されるもの) を読み込み，alias によって指定されるキーストアに格納する．ファイルが指定されていない場合は，標準入力から証明書または PKCS#7 応答を読み込む．
• -importkeystore
  

  -importkeystore -srckeystore srckeystore -destkeystore destkeystore
   {-srcstoretype srcstoretype} {-deststoretype deststoretype}
   [-srcstorepass srcstorepass] [-deststorepass deststorepass]
   {-srcprotected} {-destprotected} {-srcalias srcalias
   {-destalias destalias} [-srckeypass srckeypass]
   [-destkeypass destkeypass] } {-noprompt}
   {-srcProviderName src_provider_name}
   {-destProviderName dest_provider_name}
  

  ソースキーストアからターゲットキーストアへ単一のエントリまたはすべてのエントリをインポートする．インポート時には，ターゲットキーストア内の新しいエントリはすべて元と同じ別名およびパスワードを持つ．
• -certreq
  

  -certreq {-alias alias} {-sigalg sigalg} {-file certreq_file}
   [-keypass keypass] [-storepass storepass]
  

  PKCS#10 形式を使って証明書署名要求 (CSR) を生成する．
• -exportcert
  

  -exportcert {-alias alias} {-file cert_file} [-storepass storepass]
   {-rfc}
  

  alias に関連付けられた証明書をキーストアから読み込み，ファイル cert_file に格納する．
• -list
  

  -list {-alias alias} [-storepass storepass] {-v | -rfc}
  

  alias で特定されるキーストアエントリの内容を標準出力に出力する．別名が指定されていない場合は，キーストア全体の内容が表示される．
• -printcert
  

  -printcert {-file cert_file}
  

  ファイル cert_file から証明書を読み込み，可読形式で証明書の内容を表示する．ファイルが指定されていない場合は，標準入力から証明書を読み込む．
• -storepasswd
  

  -storepasswd [-new new_storepass] {-storetype storetype}
   [-storepass storepass]
  

  キーストアの内容を保護するためのパスワードを変更する．new_storepass には，新しいパスワードを指定する．new_storepass は，6 文字以上でなければならない．
• -keypasswd
  

  -keypasswd {-alias alias} [-keypass old_keypass] [-new new_keypass]
   [-storepass storepass]
  

  alias によって特定される秘密鍵を保護するためのパスワードを old_keypass から new_keypass に変更する．new_keypass は，6 文字以上でなければならない．
• -delete
  

  -delete [-alias alias] [-storepass storepass]
  

  alias によって指定されるエントリをキーストアから削除する．
• -changealias
  

  -changealias {-alias alias} [-destalias destalias] [-keypass keypass]
   [-storepass storepass]
  

  指定された alias から新しい別名 destalias へ，既存のキーストアエントリを移動する．ターゲット別名が指定されなかった場合，その入力が求められる．元のエントリがエントリパスワードで保護されていた場合，「-keypass」オプションでそのパスワードを指定する．

利用例

• 鍵のペアの生成
  C:\working ディレクトリに mykeystore という名前のキーストアを作成し，作成したキーストアにパスワード ab987c を割り当てる．生成する公開鍵と秘密鍵のペアに対応するエンティティの「識別名」は，通称が「Mark Jones」，組織単位が「JavaSoft」，組織が「Sun」，2 文字の国番号が「US」である．公開鍵と秘密鍵のサイズは 1024 ビットで，鍵の作成にはデフォルトの DSA 鍵生成アルゴリズムを使用する． また，証明書の有効期間は 180 日である．

    keytool -genkeypair
     -dname "cn=Mark Jones, ou=JavaSoft, o=Sun, c=US"
     -alias business -keypass kpi135 -keystore C:\working\mykeystore
     -storepass ab987c -validity 180
  

• 証明書発行局に対する署名付き証明書の要求
  証明書署名要求 (CSR) を生成する．CSR (デフォルト別名「mykey」によって特定されるエンティティの CSR) が作成され，MarkJ.csr という名前のファイルに格納される．

    keytool -certreq -file MarkJ.csr
  

• CA からの証明書のインポート
  ABCCA.cer を有効な証明書として信頼し，証明書をキーストアに追加する．

   keytool -importcert -alias abc -file ABCCA.cer
  

• CA からの証明応答のインポート
  証明書署名要求の送信結果として送り返された証明書の名前が VSMarkJ.cer として，証明応答をインポートする．これにより，自己署名証明書を証明書チェーンで置き換えられる．

    keytool -importcert -trustcacerts -file VSMarkJ.cer
  

• 公開鍵証明書のエクスポート
  証明書を MJ.cer という名前のファイルにコピーする．このエントリには，「mykey」という別名が使われているとする．

    keytool -exportcert -alias mykey -file MJ.cer
  

• キーストアのインポート
  通常の JKS タイプのキーストア key.jks 内のエントリを PKCS #11 タイプのハードウェアベースのキーストア内にインポートする．

    keytool -importkeystore
     -srckeystore key.jks -destkeystore NONE
     -srcstoretype JKS -deststoretype PKCS11
     -srcstorepass changeit -deststorepass topsecret
  

／