1. 生成服务器端私钥及密钥库：
keytool -genkey -alias testServer -validity 365 -keyalg RSA -keystore server.jks
其中testServer为服务器端私钥别名，server.jks为密钥库文件名
（生成密钥时的名字与姓氏一项需要与web域名保持一致）
keytool -genkey -alias testServer -validity 365 -keyalg RSA -keystore server.jks
输入密钥库口令:
您的名字与姓氏是什么?
[Unknown]: localhost
您的组织单位名称是什么?
[Unknown]: wh
您的组织名称是什么?
[Unknown]: wh
您所在的城市或区域名称是什么?
[Unknown]: wh
您所在的省/市/自治区名称是什么?
[Unknown]: hb
该单位的双字母国家/地区代码是什么?
[Unknown]: cn
CN=test.com, OU=wh, O=wh, L=wh, ST=hb, C=cn是否正确?
[否]: y
输入 <testServer> 的密钥口令
(如果和密钥库口令相同, 按回车):
2. 导出服务器证书请求文件
keytool -certreq -alias testServer -keyalg RSA -keysize 2048 -file server.csr -keystore server.jks
（其中server.csr为证书请求文件名）
3. 将证书请求文件交由第三方CA或者自制CA签名
使用自建CA签发证书（root.crt和root.key见：“附：使用openssl创建自制CA”）：
openssl x509 -req -days 730 -sha1 -extensions v3_req -CA root.crt -CAkey root.key -CAcreateserial -in server.csr -out server.crt
OpenSSL> x509 -req -days 730 -sha1 -extensions v3_req -CA root.crt -CAkey root.key -CAcreateserial -in server.csr -out server.crt
Signature ok
subject=/C=cn/ST=hb/L=wh/O=wh/OU=wh/CN=test.com
Getting CA Private Key
Enter pass phrase for root.key:
生成文件名为server.crt
4. 将服务器证书导入密钥库
keytool -import -alias testserver -file server.crt -keystore server.jks
（其中testServer为证书别名，需要与之前生成密钥库时使用的别名一致）
5. 修改tomcat下server.xml配置文件
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="conf/server.jks" keystorePass="123456" />
（其中server.jks为密钥库文件名）
附：使用openssl创建自制CA
1） 创建根证书密钥文件root.key：
openssl genrsa -des3 -out root.key 1024
OpenSSL> genrsa -des3 -out root.key 1024
Generating RSA private key, 1024 bit long modulus
.....++++++
.....++++++
e is 65537 (0x10001)
Enter pass phrase for root.key:
Verifying - Enter pass phrase for root.key:
2）创建根证书的申请文件root.csr：
openssl req -new -key root.key -out root.csr
OpenSSL> req -new -key root.key -out root.csr
Enter pass phrase for root.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:cn
State or Province Name (full name) [Some-State]:hb
Locality Name (eg, city) []:wh
Organization Name (eg, company) [Internet Widgits Pty Ltd]:wh
Organizational Unit Name (eg, section) []:wh
Common Name (eg, YOUR name) []:testCA
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
3）创建一个自当前日期起为期十年的根证书root.crt：
openssl x509 -req -days 3650 -sha1 -extensions v3_ca -signkey root.key -in root.csr -out root.crt
