Java 1.7 keytoolユーティリティを使用してサブジェクト代替名で証明書を生成できません

keytoolJava 1.7のJava ユーティリティを使用して、サブジェクトの別名を持つキーペアを生成する際に問題が発生しています。ここにある指示に従おうとしています。

私が使用しているコマンドの例は次のとおりです（この例はテスト済みです）。

keytool -keystore c:\temp\keystore.jks -storepass changeme -keypass changeme -alias spam -genkeypair -keysize 2048 -keyalg RSA -dname "CN=spam.example.com, OU=Spam NA, O=Spam Inc, L=Anywhere, S=State, C=US" -ext san=dns:spam,ip:192.168.0.1

次に、次のコマンドを使用してCSRを生成します。

keytool -keystore c:\temp\keystore.jks -storepass changeme -alias spam -certreq -file c:\temp\spam.csr

次の証明書要求が生成されます。

-----BEGIN NEW CERTIFICATE REQUEST-----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-----END NEW CERTIFICATE REQUEST-----

SSL ShopperでCSR Decoderを使用してCSRを調べると、指定されたSANが含まれていることは表示されません。この証明書は、当社の環境で内部使用するためのものであり、ユーザーはFQDN、サーバー名のみ、またはIPアドレスを使用してサイトにアクセスする可能性があるため、SANが必要です。

私はトラブルシューティングを続けていますが、証明書の経験はあまりないので、私は途方に暮れており、環境内の他のほとんどの人はkeytool証明書の生成に使用していません。

考え？代替案？ある時点でJavaキーストアにインポートできる限り、キーとCSRを生成するために別の方法を使用することは確かです。

ssl keytool certificate

— ダグ・R
ソース

「CN = spam.example.com」 -DNS名をCNに配置することは、IETFとCA / Browserフォーラムの両方で廃止されました。代わりに、CNに「Spam Inc」のようなわかりやすい名前を付けます。すべてのDNS名をSANに配置します。

-ext2番目のコマンドにもフラグを渡す必要があります。

$ keytool -keystore keystore.jks -storepass changeme -alias spam -certreq -ext san=dns:spam,ip:192.168.0.1 -file spam.csr

次に、証明書には代替名が含まれます。

$ openssl x509 -noout -text -in spam.csr | grep -A2 "Requested Extensions"
        Requested Extensions:
            X509v3 Subject Alternative Name:
                DNS:spam, IP Address:192.168.0.1

— ダウド
ソース

ありがとうございました。私は一晩中それを理解したことを投稿するためにログインしていました（地元の誰かから少し助けを借りて）。文書が（少なくとも私には）それが必要だと言っていないように見えるので、私はその理由を理解したいkeytoolです。しかし、少なくともそれは私が一緒に暮らすことができる答えであり、私は完全に私の心から外に出ているわけではないことを知っています。ありがとう。

— ダグR.