1 ." Copyright (c) 1998, 2011, Oracle and/or its affiliates. All rights reserved.
   2 ." DO NOT ALTER OR REMOVE COPYRIGHT NOTICES OR THIS FILE HEADER.
   3 ."
   4 ." This code is free software; you can redistribute it and/or modify it
   5 ." under the terms of the GNU General Public License version 2 only, as
   6 ." published by the Free Software Foundation.
   7 ."
   8 ." This code is distributed in the hope that it will be useful, but WITHOUT
   9 ." ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or
  10 ." FITNESS FOR A PARTICULAR PURPOSE.  See the GNU General Public License
  11 ." version 2 for more details (a copy is included in the LICENSE file that
  12 ." accompanied this code).
  13 ."
  14 ." You should have received a copy of the GNU General Public License version
  15 ." 2 along with this work; if not, write to the Free Software Foundation,
  16 ." Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA.
  17 ."
  18 ." Please contact Oracle, 500 Oracle Parkway, Redwood Shores, CA 94065 USA
  19 ." or visit www.oracle.com if you need additional information or have any
  20 ." questions.
  21 ."
  22 .TH keytool 1 "07 May 2011"
  23 
  24 .LP
  25 .SH "名前"
  26 keytool \- 鍵と証明書の管理ツール
  27 .LP
  28 .LP
  29 暗号化鍵、X.509 証明書チェーン、および信頼できる証明書を含むキーストア (データベース) を管理します。
  30 .LP
  31 .SH "形式"
  32 .LP
  33 .nf
  34 \f3
  35 .fl
  36 \fP\f3keytool\fP [ commands ]
  37 .fl
  38 .fi
  39 
  40 .LP
  41 .LP
  42 Java SE 6 で keytool のコマンドインタフェースが変更されました。詳細については「変更点」の節を参照してください。以前に定義されたコマンドも引き続きサポートされています。
  43 .LP
  44 .SH "説明"
  45 .LP
  46 \f3keytool\fP は、鍵と証明書を管理するためのユーティリティーです。keytool を使うと、自分の公開鍵と非公開鍵のペア、および関連する証明書を管理し、デジタル署名を使った自己認証 (ほかのユーザーまたはサービスに対して自分自身を認証すること) や、データの整合性と証明書に関するサービスを利用することができます。keytool では、通信相手の公開鍵を (証明書の形で) キャッシュすることもできます。 
  47 .LP
  48 「証明書」とは、あるエンティティー (人物、会社など) からのデジタル署名付きの文書のことです。証明書には、ほかのあるエンティティーの公開鍵 (およびその他の情報) が特別な値を持っていることが書かれています(「証明書」を参照)。データにデジタル署名が付いている場合は、デジタル署名を検証することで、データの整合性およびデータが本物であることをチェックできます。データの「整合性」とは、データが変更されたり、改変されたりしていないことを意味します。 また、データが「本物である」とは、そのデータが、データを作成して署名したと称する人物から実際に渡されたデータであることを意味します。
  49 .LP
  50 .LP
  51 また、\f3keytool\fP を使えば、DES などの対称暗号化/復号化で使用される秘密鍵を管理することもできます。
  52 .LP
  53 .LP
  54 \f3keytool\fP は、鍵と証明書を\f2「キーストア」\fPに格納します。
  55 .LP
  56 .SH "コマンドとオプションに関する注"
  57 .LP
  58 .LP
  59 以下では、コマンドとそのオプションについて説明します。注:
  60 .LP
  61 .RS 3
  62 .TP 2
  63 o
  64 どのコマンド名およびオプション名にも先頭にマイナス記号 (\-) が付く 
  65 .TP 2
  66 o
  67 各コマンドのオプションは任意の順序で指定できる 
  68 .TP 2
  69 o
  70 イタリック体になっていないすべての項目、または中括弧か角括弧で囲まれているすべての項目は、そのとおりに指定する必要がある 
  71 .TP 2
  72 o
  73 オプションを囲む中括弧は、一般に、そのオプションをコマンド行で指定しなかった場合に、デフォルト値が使われることを意味する。中括弧は、 \f2\-v\fP、 \f2\-rfc\fP、および \f2\-J\fP オプションを囲むのにも使われるが、これらのオプションはコマンド行で指定された場合にのみ意味を持つ (つまり、これらのオプションには、オプション自体を指定しないこと以外に「デフォルト値」は存在しない) 
  74 .TP 2
  75 o
  76 オプションを囲む角括弧は、そのオプションをコマンド行で指定しなかった場合に、値の入力を求められることを意味する。( \f2\-keypass\fP オプションの場合、オプションをコマンド行で指定しなかった場合は、\f3keytool\fP がまずキーストアのパスワードから非公開/秘密鍵の復元を試みる。 ユーザーは、この試みが失敗した場合に非公開/秘密鍵のパスワードの入力を求められる 
  77 .TP 2
  78 o
  79 イタリック体の項目の実際の値 (オプションの値) は、ユーザーが指定する必要があるたとえば、 \f2\-printcert\fP コマンドの形式は次のとおりである 
  80 .nf
  81 \f3
  82 .fl
  83   keytool \-printcert {\-file \fP\f4cert_file\fP\f3} {\-v}
  84 .fl
  85 \fP
  86 .fi
  87 .LP
  88 \f2\-printcert\fP コマンドを指定するときは、\f2cert_file\fP の代わりに実際のファイル名を指定する。次に例を示す 
  89 .nf
  90 \f3
  91 .fl
  92   keytool \-printcert \-file VScert.cer
  93 .fl
  94 \fP
  95 .fi
  96 .TP 2
  97 o
  98 オプションの値に空白 (スペース) が含まれている場合は、値を引用符で囲む必要がある 
  99 .TP 2
 100 o
 101 \f2\-help\fP コマンドはデフォルトのコマンドである。たとえば、次のようにコマンド行を指定したとする 
 102 .nf
 103 \f3
 104 .fl
 105   keytool
 106 .fl
 107 \fP
 108 .fi
 109 .LP
 110 これは、次のように指定することと同じです。 
 111 .nf
 112 \f3
 113 .fl
 114   keytool \-help
 115 .fl
 116 \fP
 117 .fi




















































































































































































































 118 .RE
 119 
 120 .LP
 121 .SS 
 122 オプションのデフォルト値
 123 .LP
 124 .LP
 125 オプションのデフォルト値は、次のとおりです。
 126 .LP










































































































 127 .nf
 128 \f3
 129 .fl
 130 \-alias "mykey"
 131 .fl
 132 
 133 .fl
 134 \-keyalg
 135 .fl
 136     "DSA" (\fP\f3\-genkeypair\fP\f3 を使用している場合)
 137 .fl
 138     "DES" (\fP\f3\-genseckey\fP\f3 を使用している場合)
 139 .fl
 140 
 141 .fl
 142 \-keysize
 143 .fl
 144     2048 (\fP\f3\-genkeypair\fP\f3 を使用していて \-keyalg が "RSA" の場合)
 145 .fl
 146     1024 (\fP\f3\-genkeypair\fP\f3 を使用していて \-keyalg が "DSA" の場合)
 147 .fl
 148     256 (\fP\f3\-genkeypair\fP\f3 を使用していて \-keyalg が "EC" の場合)
 149 .fl
 150     56 (\fP\f3\-genseckey\fP\f3 を使用していて \-keyalg が "DES" の場合)
 151 .fl
 152     168 (\fP\f3\-genseckey\fP\f3 を使用していて \-keyalg が "DESede" の場合)
 153 .fl
 154 
 155 .fl
 156 
 157 .fl
 158 \-validity 90
 159 .fl
 160 
 161 .fl
 162 \-keystore ユーザーのホームディレクトリの  \fP\f4.keystore\fP\f3  というファイル
 163 .fl
 164 
 165 .fl
 166 \-storetype セキュリティープロパティーファイルの「keystore.type」プロパティーの値で、
 167 .fl
 168            java.security.KeyStore の静的な getDefaultType メソッドから返される \fP\f4 \fP\f3  
 169 .fl
 170            \fP\f4 \fP\f3
 171 .fl
 172 
 173 .fl
 174 \-file 読み込みの場合は標準入力、書き込みの場合は標準出力
 175 .fl




 176 
 177 .fl
 178 \-protected false
 179 .fl
 180 \fP
 181 .fi
 182 
 183 .LP
 184 .LP
 185 公開/非公開鍵ペアの生成において、署名アルゴリズム (\f2\-sigalg\fP オプション) は、基になる非公開鍵のアルゴリズムから派生します。
 186 .LP
 187 .RS 3
 188 .TP 2
 189 o
 190 基になる非公開鍵が DSA タイプである場合、\f2\-sigalg\fP オプションのデフォルト値は SHA1withDSA になり、 
 191 .TP 2
 192 o
 193 基になる非公開鍵が RSA タイプである場合は、\f2\-sigalg\fP オプションのデフォルト値は SHA256withRSA になり、 
 194 .TP 2
 195 o
 196 基になる非公開鍵が EC タイプである場合は、\f2\-sigalg\fP オプションのデフォルト値は SHA256withECDSA になります。 
 197 .RE
 198 
 199 .LP
 200 .LP
 201 選択可能な \f2\-keyalg\fP および \f2\-sigalg\fP の完全な一覧については、
 202 .na
 203 \f2「Java Cryptography Architecture API Specification & Reference」\fP @
 204 .fi
 205 http://java.sun.com/javase/6/docs/technotes/guides/security/crypto/CryptoSpec.html#AppAを参照してください。
 206 .LP
 207 .SS 
 208 一般オプション
 209 .LP
 210 .LP
 211 \f2\-v\fP オプションは、 \f2\-help\fP コマンドを除くすべてのコマンドで使用できます。このオプションを指定した場合、コマンドは「冗長」モードで実行され、詳細な証明書情報が出力されます。
 212 .LP
 213 .LP
 214 また、 \f2\-J\fP\f2javaoption\fP オプションも、任意のコマンドで使用できます。このオプションを指定した場合、指定された \f2javaoption\fP 文字列が Java インタプリタに直接渡されます。このオプションには、空白を含めることはできません。このオプションは、実行環境またはメモリー使用を調整する場合に便利です。指定できるインタプリタオプションを一覧表示するには、コマンド行で \f2java \-h\fP または \f2java \-X\fP と入力してください。
 215 .LP
 216 .LP


























 217 次のオプションは、キーストアに対する操作を行うすべてのコマンドで指定できます。
 218 .LP
 219 .RS 3
 220 .TP 3
 221 \-storetype storetype 
 222 .LP
 223 この修飾子は、インスタンスを生成するキーストアのタイプを指定します。  
 224 .TP 3
 225 \-keystore keystore 
 226 .LP

 227 キーストアの場所を指定します。 
 228 .LP
 229 特定の \f3keytool\fP コマンドを実行する際に、JKS ストアタイプが使用され、かつキーストアファイルがまだ存在していなかった場合、新しいキーストアファイルが作成されます。たとえば、 \f2keytool \-genkeypair\fP の実行時に \f2\-keystore\fP オプションが指定されなかった場合、 \f2.keystore\fP という名前のデフォルトキーストアファイルがユーザーのホームディレクトリ内にまだ存在していなければ、そこに作成されます。同様に、 \f2\-keystore \fP\f2ks_file\fP というオプションが指定されてもその \f2ks_file\fP が存在しなかった場合、そのファイルが作成されます。 
 230 .LP
 231 \f2\-keystore\fP オプションからの入力ストリームは、 \f2KeyStore.load\fP メソッドに渡されます。URL として \f2NONE\fP が指定されている場合は、null のストリームが \f2KeyStore.load\fP メソッドに渡されます。 \f2NONE\fP は、 \f2KeyStore\fP がファイルベースではなく、たとえば、ハードウェアトークンデバイスに置かれている場合に指定します。  
 232 .TP 3
 233 \-storepass[:env|:file] argument 
 234 .LP
 235 キーストアの整合性を保護するために使うパスワードを指定します。 
 236 .LP
 237 修飾子 \f2env\fP または \f2file\fP を指定しない場合、パスワードの値は \f2argument\fP になります。この値は、6 文字以上にする必要があります。それ以外の場合、パスワードは次のように取得されます。 
 238 .RS 3
 239 .TP 2
 240 o
 241 \f2env\fP: \f2argument\fP という名前の環境変数からパスワードを取得する 
 242 .TP 2
 243 o
 244 \f2file\fP: \f2argument\fP という名前のファイルからパスワードを取得する 
 245 .RE
 246 .LP
 247 \f3注\fP: \f2\-keypass\fP、 \f2\-srckeypass\fP、 \f2\-destkeypass\fP \f2\-srcstorepass\fP、 \f2\-deststorepass\fP などのパスワードを必要とするその他のオプションはすべて、 \f2env\fP と \f2file\fP 修飾子を受け付けます。パスワードオプションと修飾子は、必ずコロン (\f2:\fP) で区切ってください。 
 248 .LP
 249 パスワードは、キーストアの内容にアクセスするすべてのコマンドで使われます。この種のコマンドを実行するときに、コマンド行で \f2\-storepass\fP オプションを指定しなかった場合は、パスワードの入力を求められます。 
 250 .LP
 251 キーストアから情報を取り出す場合は、パスワードを省略できます。 パスワードを省略すると、取り出す情報の整合性をチェックできないので、警告が表示されます。  
 252 .TP 3
 253 \-providerName provider_name 
 254 .LP
 255 セキュリティープロパティーファイル内に含まれる暗号化サービスプロバイダ名を特定するために使用されます。  
 256 .TP 3
 257 \-providerClass provider_class_name 
 258 .LP
 259 暗号化サービスプロバイダがセキュリティープロパティーファイルに指定されていないときは、そのマスタークラスファイルの名前を指定するときに使われます。  
 260 .TP 3
 261 \-providerArg provider_arg 
 262 .LP
 263 \f2\-providerClass\fP と組み合わせて使用します。\f2provider_class_name\fP のコンストラクタに対する省略可能な文字列入力引数を表します。  
 264 .TP 3























 265 \-protected 
 266 .LP
 267 \f2true\fP または \f2false\fP のいずれか。専用 PIN リーダーなどの保護された認証パスを介してパスワードを指定する必要がある場合には、この値に \f2true\fP を指定してください。 
 268 .LP
 269 注: \f2\-importkeystore\fP コマンドには 2 つのキーストアが関係しているため、2 つのオプション、つまり \f2\-srcprotected\fP と \f2\-destprotected\fP がソースキーストアとターゲットキーストアにそれぞれ指定されます。  
 270 .TP 3
 271 \-ext {name{:critical}{=value}} 
 272 .LP
 273 X.509 証明書エクステンションを示します。このオプションを \-genkeypair および \-gencert で使用して、生成される証明書または \f2\-certreq\fP にエクステンションを埋め込み、証明書要求で要求されるエクステンションを示すことができます。このオプションは、複数回使用できます。name には、サポートされているエクステンション名 (下記を参照) または任意の OID 番号を指定できます。value を指定した場合は、エクステンションのパラメータを示します。省略した場合は、エクステンションのデフォルト値 (定義されている場合) を示すか、またはエクステンションにパラメータは必要ありません。 \f2:critical\fP 修飾子を指定した場合は、エクステンションの isCritical 属性が true であることを示します。それ以外の場合は false であることを示します。:critical の代わりに : \f2:c\fP を使用できます。 .  
 274 .RE
 275 
 276 .LP
 277 .LP
 278 現在、keytool は次の名前のエクステンションをサポートしています (大文字と小文字は区別されない)。
 279 .LP
 280 .LP
 281 .TS
 282 .if \n+(b.=1 .nr d. \n(.c-\n(c.-1
 283 .de 35
 284 .ps \n(.s
 285 .vs \n(.vu
 286 .in \n(.iu
 287 .if \n(.u .fi
 288 .if \n(.j .ad
 289 .if \n(.j=0 .na
 290 ..
 291 .nf
 292 .nr #~ 0
 293 .if n .nr #~ 0.6n
 294 .ds #d .d
 295 .if \(ts\n(.z\(ts\(ts .ds #d nl
 296 .fc
 297 .nr 33 \n(.s
 298 .rm 80 81
 299 .nr 34 \n(.lu
 300 .eo
 301 .am 80
 302 .br
 303 .di a+
 304 .35
 305 .ft \n(.f
 306 .ll \n(34u*1u/3u
 307 .if \n(.l<\n(80 .ll \n(80u
 308 .in 0
 309 BC または BasicConstraints
 310 .br
 311 .di
 312 .nr a| \n(dn
 313 .nr a- \n(dl
 314 ..
 315 .ec \
 316 .eo
 317 .am 81
 318 .br
 319 .di b+
 320 .35
 321 .ft \n(.f
 322 .ll \n(34u*1u/3u
 323 .if \n(.l<\n(81 .ll \n(81u
 324 .in 0
 325 完全な形は「ca:{true|false}[,pathlen:<len>]」で、<len> は「ca:true,pathlen:<len>」の省略表記です。 省略すると、「ca:true」の意味になります
 326 .br
 327 .di
 328 .nr b| \n(dn
 329 .nr b- \n(dl
 330 ..
 331 .ec \
 332 .eo
 333 .am 81
 334 .br
 335 .di c+
 336 .35
 337 .ft \n(.f
 338 .ll \n(34u*1u/3u
 339 .if \n(.l<\n(81 .ll \n(81u
 340 .in 0
 341 usage(,usage)*。usage には、digitalSignature、 nonRepudiation (contentCommitment)、keyEncipherment、dataEncipherment、keyAgreement、keyCertSign、cRLSign、encipherOnly、decipherOnly のいずれかを指定できます。Usage は、あいまいさがなければ、最初の数文字 (たとえば、digitalSignature を dig に) またはキャメルケーススタイル (たとえば、 digitalSignature を dS に、cRLSign を cRLS に) に 短縮できます。Usage の大文字と小文字は区別されません。
 342 .br
 343 .di
 344 .nr c| \n(dn
 345 .nr c- \n(dl
 346 ..
 347 .ec \
 348 .eo
 349 .am 80
 350 .br
 351 .di d+
 352 .35
 353 .ft \n(.f
 354 .ll \n(34u*1u/3u
 355 .if \n(.l<\n(80 .ll \n(80u
 356 .in 0
 357 EKU または ExtendedkeyUsage
 358 .br
 359 .di
 360 .nr d| \n(dn
 361 .nr d- \n(dl
 362 ..
 363 .ec \
 364 .eo
 365 .am 81
 366 .br
 367 .di e+
 368 .35
 369 .ft \n(.f
 370 .ll \n(34u*1u/3u
 371 .if \n(.l<\n(81 .ll \n(81u
 372 .in 0
 373 usage(,usage)*。usage には、anyExtendedKeyUsage、 serverAuth、clientAuth、codeSigning、emailProtection、 timeStamping、OCSPSigning、または任意の OID 文字列のいずれかを指定できます。 名前付きの usage は、あいまいさがなければ、 最初の数文字またはキャメルケーススタイルに 短縮できます。Usage の大文字と小文字は区別されません。
 374 .br
 375 .di
 376 .nr e| \n(dn
 377 .nr e- \n(dl
 378 ..
 379 .ec \
 380 .eo
 381 .am 80
 382 .br
 383 .di f+
 384 .35
 385 .ft \n(.f
 386 .ll \n(34u*1u/3u
 387 .if \n(.l<\n(80 .ll \n(80u
 388 .in 0
 389 SAN または SubjectAlternativeName
 390 .br
 391 .di
 392 .nr f| \n(dn
 393 .nr f- \n(dl
 394 ..
 395 .ec \
 396 .eo
 397 .am 81
 398 .br
 399 .di g+
 400 .35
 401 .ft \n(.f
 402 .ll \n(34u*1u/3u
 403 .if \n(.l<\n(81 .ll \n(81u
 404 .in 0
 405 type:value(,type:value)*。type には、EMAIL、URI、DNS、IP、または OID を指定できます。value は、type の文字列形式の値です。
 406 .br
 407 .di
 408 .nr g| \n(dn
 409 .nr g- \n(dl
 410 ..
 411 .ec \
 412 .eo
 413 .am 80
 414 .br
 415 .di h+
 416 .35
 417 .ft \n(.f
 418 .ll \n(34u*1u/3u
 419 .if \n(.l<\n(80 .ll \n(80u
 420 .in 0
 421 IAN または IssuerAlternativeName
 422 .br
 423 .di
 424 .nr h| \n(dn
 425 .nr h- \n(dl
 426 ..
 427 .ec \
 428 .eo
 429 .am 81
 430 .br
 431 .di i+
 432 .35
 433 .ft \n(.f
 434 .ll \n(34u*1u/3u
 435 .if \n(.l<\n(81 .ll \n(81u
 436 .in 0
 437 SubjectAlternativeName と同じです
 438 .br
 439 .di
 440 .nr i| \n(dn
 441 .nr i- \n(dl
 442 ..
 443 .ec \
 444 .eo
 445 .am 80
 446 .br
 447 .di j+
 448 .35
 449 .ft \n(.f
 450 .ll \n(34u*1u/3u
 451 .if \n(.l<\n(80 .ll \n(80u
 452 .in 0
 453 SIA または SubjectInfoAccess
 454 .br
 455 .di
 456 .nr j| \n(dn
 457 .nr j- \n(dl
 458 ..
 459 .ec \
 460 .eo
 461 .am 81
 462 .br
 463 .di k+
 464 .35
 465 .ft \n(.f
 466 .ll \n(34u*1u/3u
 467 .if \n(.l<\n(81 .ll \n(81u
 468 .in 0
 469 method:location\-type:location\-value (,method:location\-type:location\-value)*。 method には、「timeStamping」、「caRepository」、または任意の OID を指定できます。location\-type および location\-value には、SubjectAlternativeName エクステンションでサポートされる任意の type:value を指定できます。
 470 .br
 471 .di
 472 .nr k| \n(dn
 473 .nr k- \n(dl
 474 ..
 475 .ec \
 476 .eo
 477 .am 80
 478 .br
 479 .di l+
 480 .35
 481 .ft \n(.f
 482 .ll \n(34u*1u/3u
 483 .if \n(.l<\n(80 .ll \n(80u
 484 .in 0
 485 AIA または AuthorityInfoAccess
 486 .br
 487 .di
 488 .nr l| \n(dn
 489 .nr l- \n(dl
 490 ..
 491 .ec \
 492 .eo
 493 .am 81
 494 .br
 495 .di m+
 496 .35
 497 .ft \n(.f
 498 .ll \n(34u*1u/3u
 499 .if \n(.l<\n(81 .ll \n(81u
 500 .in 0
 501 SubjectInfoAccess と同じです。method には、「ocsp」、「caIssuers」、または任意の OID を指定できます。
 502 .br
 503 .di
 504 .nr m| \n(dn
 505 .nr m- \n(dl
 506 ..
 507 .ec \
 508 .35
 509 .nf
 510 .ll \n(34u
 511 .nr 80 0
 512 .nr 38 \w\f3名前\fP
 513 .if \n(80<\n(38 .nr 80 \n(38
 514 .nr 38 \wKU または KeyUsage
 515 .if \n(80<\n(38 .nr 80 \n(38
 516 .80
 517 .rm 80
 518 .nr 38 \n(a-
 519 .if \n(80<\n(38 .nr 80 \n(38
 520 .nr 38 \n(d-
 521 .if \n(80<\n(38 .nr 80 \n(38
 522 .nr 38 \n(f-
 523 .if \n(80<\n(38 .nr 80 \n(38
 524 .nr 38 \n(h-
 525 .if \n(80<\n(38 .nr 80 \n(38
 526 .nr 38 \n(j-
 527 .if \n(80<\n(38 .nr 80 \n(38
 528 .nr 38 \n(l-
 529 .if \n(80<\n(38 .nr 80 \n(38
 530 .nr 81 0
 531 .nr 38 \w\f3値\fP
 532 .if \n(81<\n(38 .nr 81 \n(38
 533 .81
 534 .rm 81
 535 .nr 38 \n(b-
 536 .if \n(81<\n(38 .nr 81 \n(38
 537 .nr 38 \n(c-
 538 .if \n(81<\n(38 .nr 81 \n(38
 539 .nr 38 \n(e-
 540 .if \n(81<\n(38 .nr 81 \n(38
 541 .nr 38 \n(g-
 542 .if \n(81<\n(38 .nr 81 \n(38
 543 .nr 38 \n(i-
 544 .if \n(81<\n(38 .nr 81 \n(38
 545 .nr 38 \n(k-
 546 .if \n(81<\n(38 .nr 81 \n(38
 547 .nr 38 \n(m-
 548 .if \n(81<\n(38 .nr 81 \n(38
 549 .35
 550 .nf
 551 .ll \n(34u
 552 .nr 38 1n
 553 .nr 79 0
 554 .nr 40 \n(79+(0*\n(38)
 555 .nr 80 +\n(40
 556 .nr 41 \n(80+(3*\n(38)
 557 .nr 81 +\n(41
 558 .nr TW \n(81
 559 .if t .if \n(TW>\n(.li .tm Table at line 325 file Input is too wide - \n(TW units
 560 .fc  
 561 .nr #T 0-1
 562 .nr #a 0-1
 563 .eo
 564 .de T#
 565 .ds #d .d
 566 .if \(ts\n(.z\(ts\(ts .ds #d nl
 567 .mk ##
 568 .nr ## -1v
 569 .ls 1
 570 .ls
 571 ..
 572 .ec
 573 .ta \n(80u \n(81u 
 574 .nr 31 \n(.f
 575 .nr 35 1m
 576 \&\h'|\n(40u'\f3名前\fP\h'|\n(41u'\f3値\fP
 577 .ne \n(a|u+\n(.Vu
 578 .ne \n(b|u+\n(.Vu
 579 .if (\n(a|+\n(#^-1v)>\n(#- .nr #- +(\n(a|+\n(#^-\n(#--1v)
 580 .if (\n(b|+\n(#^-1v)>\n(#- .nr #- +(\n(b|+\n(#^-\n(#--1v)
 581 .ta \n(80u \n(81u 
 582 .nr 31 \n(.f
 583 .nr 35 1m
 584 \&\h'|\n(40u'\h'|\n(41u'
 585 .mk ##
 586 .nr 31 \n(##
 587 .sp |\n(##u-1v
 588 .nr 37 \n(40u
 589 .in +\n(37u
 590 .a+
 591 .in -\n(37u
 592 .mk 32
 593 .if \n(32>\n(31 .nr 31 \n(32
 594 .sp |\n(##u-1v
 595 .nr 37 \n(41u
 596 .in +\n(37u
 597 .b+
 598 .in -\n(37u
 599 .mk 32
 600 .if \n(32>\n(31 .nr 31 \n(32
 601 .sp |\n(31u
 602 .ne \n(c|u+\n(.Vu
 603 .if (\n(c|+\n(#^-1v)>\n(#- .nr #- +(\n(c|+\n(#^-\n(#--1v)
 604 .ta \n(80u \n(81u 
 605 .nr 31 \n(.f
 606 .nr 35 1m
 607 \&\h'|\n(40u'KU または KeyUsage\h'|\n(41u'
 608 .mk ##
 609 .nr 31 \n(##
 610 .sp |\n(##u-1v
 611 .nr 37 \n(41u
 612 .in +\n(37u
 613 .c+
 614 .in -\n(37u
 615 .mk 32
 616 .if \n(32>\n(31 .nr 31 \n(32
 617 .sp |\n(31u
 618 .ne \n(d|u+\n(.Vu
 619 .ne \n(e|u+\n(.Vu
 620 .if (\n(d|+\n(#^-1v)>\n(#- .nr #- +(\n(d|+\n(#^-\n(#--1v)
 621 .if (\n(e|+\n(#^-1v)>\n(#- .nr #- +(\n(e|+\n(#^-\n(#--1v)
 622 .ta \n(80u \n(81u 
 623 .nr 31 \n(.f
 624 .nr 35 1m
 625 \&\h'|\n(40u'\h'|\n(41u'
 626 .mk ##
 627 .nr 31 \n(##
 628 .sp |\n(##u-1v
 629 .nr 37 \n(40u
 630 .in +\n(37u
 631 .d+
 632 .in -\n(37u
 633 .mk 32
 634 .if \n(32>\n(31 .nr 31 \n(32
 635 .sp |\n(##u-1v
 636 .nr 37 \n(41u
 637 .in +\n(37u
 638 .e+
 639 .in -\n(37u
 640 .mk 32
 641 .if \n(32>\n(31 .nr 31 \n(32
 642 .sp |\n(31u
 643 .ne \n(f|u+\n(.Vu
 644 .ne \n(g|u+\n(.Vu
 645 .if (\n(f|+\n(#^-1v)>\n(#- .nr #- +(\n(f|+\n(#^-\n(#--1v)
 646 .if (\n(g|+\n(#^-1v)>\n(#- .nr #- +(\n(g|+\n(#^-\n(#--1v)
 647 .ta \n(80u \n(81u 
 648 .nr 31 \n(.f
 649 .nr 35 1m
 650 \&\h'|\n(40u'\h'|\n(41u'
 651 .mk ##
 652 .nr 31 \n(##
 653 .sp |\n(##u-1v
 654 .nr 37 \n(40u
 655 .in +\n(37u
 656 .f+
 657 .in -\n(37u
 658 .mk 32
 659 .if \n(32>\n(31 .nr 31 \n(32
 660 .sp |\n(##u-1v
 661 .nr 37 \n(41u
 662 .in +\n(37u
 663 .g+
 664 .in -\n(37u
 665 .mk 32
 666 .if \n(32>\n(31 .nr 31 \n(32
 667 .sp |\n(31u
 668 .ne \n(h|u+\n(.Vu
 669 .ne \n(i|u+\n(.Vu
 670 .if (\n(h|+\n(#^-1v)>\n(#- .nr #- +(\n(h|+\n(#^-\n(#--1v)
 671 .if (\n(i|+\n(#^-1v)>\n(#- .nr #- +(\n(i|+\n(#^-\n(#--1v)
 672 .ta \n(80u \n(81u 
 673 .nr 31 \n(.f
 674 .nr 35 1m
 675 \&\h'|\n(40u'\h'|\n(41u'
 676 .mk ##
 677 .nr 31 \n(##
 678 .sp |\n(##u-1v
 679 .nr 37 \n(40u
 680 .in +\n(37u
 681 .h+
 682 .in -\n(37u
 683 .mk 32
 684 .if \n(32>\n(31 .nr 31 \n(32
 685 .sp |\n(##u-1v
 686 .nr 37 \n(41u
 687 .in +\n(37u
 688 .i+
 689 .in -\n(37u
 690 .mk 32
 691 .if \n(32>\n(31 .nr 31 \n(32
 692 .sp |\n(31u
 693 .ne \n(j|u+\n(.Vu
 694 .ne \n(k|u+\n(.Vu
 695 .if (\n(j|+\n(#^-1v)>\n(#- .nr #- +(\n(j|+\n(#^-\n(#--1v)
 696 .if (\n(k|+\n(#^-1v)>\n(#- .nr #- +(\n(k|+\n(#^-\n(#--1v)
 697 .ta \n(80u \n(81u 
 698 .nr 31 \n(.f
 699 .nr 35 1m
 700 \&\h'|\n(40u'\h'|\n(41u'
 701 .mk ##
 702 .nr 31 \n(##
 703 .sp |\n(##u-1v
 704 .nr 37 \n(40u
 705 .in +\n(37u
 706 .j+
 707 .in -\n(37u
 708 .mk 32
 709 .if \n(32>\n(31 .nr 31 \n(32
 710 .sp |\n(##u-1v
 711 .nr 37 \n(41u
 712 .in +\n(37u
 713 .k+
 714 .in -\n(37u
 715 .mk 32
 716 .if \n(32>\n(31 .nr 31 \n(32
 717 .sp |\n(31u
 718 .ne \n(l|u+\n(.Vu
 719 .ne \n(m|u+\n(.Vu
 720 .if (\n(l|+\n(#^-1v)>\n(#- .nr #- +(\n(l|+\n(#^-\n(#--1v)
 721 .if (\n(m|+\n(#^-1v)>\n(#- .nr #- +(\n(m|+\n(#^-\n(#--1v)
 722 .ta \n(80u \n(81u 
 723 .nr 31 \n(.f
 724 .nr 35 1m
 725 \&\h'|\n(40u'\h'|\n(41u'
 726 .mk ##
 727 .nr 31 \n(##
 728 .sp |\n(##u-1v
 729 .nr 37 \n(40u
 730 .in +\n(37u
 731 .l+
 732 .in -\n(37u
 733 .mk 32
 734 .if \n(32>\n(31 .nr 31 \n(32
 735 .sp |\n(##u-1v
 736 .nr 37 \n(41u
 737 .in +\n(37u
 738 .m+
 739 .in -\n(37u
 740 .mk 32
 741 .if \n(32>\n(31 .nr 31 \n(32
 742 .sp |\n(31u
 743 .fc
 744 .nr T. 1
 745 .T# 1
 746 .35
 747 .rm a+
 748 .rm b+
 749 .rm c+
 750 .rm d+
 751 .rm e+
 752 .rm f+
 753 .rm g+
 754 .rm h+
 755 .rm i+
 756 .rm j+
 757 .rm k+
 758 .rm l+
 759 .rm m+
 760 .TE
 761 .if \n-(b.=0 .nr c. \n(.c-\n(d.-44
 762 
 763 .LP
 764 .LP
 765 OID 名の場合、OCTET STRING タイプと長さのバイトを除外したエクステンションについては、値は extnValue の HEX ダンプの DER エンコーディングです。HEX 文字列では、標準の HEX 数 (0\-9、a\-f、A\-F) 以外の文字は無視されます。したがって、 \f2「01:02:03:04」\fP と \f2「01020304」の両方とも\fP 同一の値として受け付けられます。値がない場合、エクステンションの値フィールドは空になります。
 766 .LP
 767 .LP
 768 \f2\-gencert\fP でのみ使用する「honored」という特別な名前は、証明書要求に含まれるエクステンションを優先する方法を示します。この名前の値は、 \f2「all」\fP (要求されるすべてのエクステンションが優先される)、 \f2「name{:[critical|non\-critical]}」\fP (名前付きのエクステンションが優先されるが、別の isCritical 属性を使用する)、および \f2「\-name」\fP (「all」とともに使用し、例外を示す) のコンマ区切りリストです。デフォルトでは、要求されるエクステンションは優先されません。
 769 .LP
 770 .LP
 771 \-ext 優先のオプションに加え、別の名前の、または OID \-ext のオプションを指定した場合は、このエクステンションが、すでに優先されているエクステンションに追加されます。ただし、この名前 (または OID) を優先される値でも使用した場合は、その値と重要性が要求に含まれるものをオーバーライドします。
 772 .LP
 773 .LP
 774 subjectKeyIdentifier エクステンションは常に作成されます。自己署名でない証明書の場合は、authorityKeyIdentifier が常に作成されます。
 775 .LP
 776 .LP
 777 \f3注:\fP ユーザーは、エクステンション (および証明書のほかのフィールド) の組み合わせによっては、インターネットの標準に準拠しない場合があることに注意してください。詳細については、「証明書の準拠に関する注意事項」を参照してください。
 778 .LP
 779 .SH "コマンド"
 780 .LP
 781 .SS 
 782 キーストアへのデータの作成または追加
 783 .LP
 784 .RS 3
 785 .TP 3
 786 \-gencert {\-rfc} {\-infile infile} {\-outfile outfile} {\-alias alias} {\-sigalg sigalg} {\-dname dname} {\-startdate startdate {\-ext ext}* {\-validity valDays} [\-keypass keypass] {\-keystore keystore} [\-storepass storepass] {\-storetype storetype} {\-providername provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption} 
 787 .LP
 788 証明書要求ファイル ( \f2keytool \-certreq\fP コマンドで作成できる) に応答して証明書を生成します。このコマンドは、\f2infile\fP から (省略した場合は、標準入力から) 要求を読み込み、別名の非公開鍵を使ってその要求に署名して、X.509 証明書を \f2outfile\fP に (省略した場合は、標準出力に) 出力します。 \f2\-rfc\fP を指定した場合、出力形式は BASE64 符号化の PEM になります。それ以外の場合は、バイナリ DER が作成されます。 
 789 .LP
 790 \f2sigalg\fP には、証明書に署名を付けるときに使うアルゴリズムを指定します。\f2startdate\fP は、証明書が有効になる開始時刻/日付です。\f2valDays\fP には、証明書の有効日数を指定します。 
 791 .LP
 792 \f2dname\fP を指定すると、生成される証明書の主体として使用されます。それ以外の場合は、証明書要求からの名前が使用されます。 
 793 .LP
 794 \f2ext\fP は、証明書に埋め込まれる X.509 エクステンションを示します。\-ext の文法については、「一般オプション」を参照してください。 
 795 .LP
 796 \f2\-gencert\fP コマンドを使用すると、証明書チェーンを作成できます。次の例では、 \f2e1\fP という証明書を作成します。この証明書の証明書チェーンには、3 つの証明書が含まれています。 
 797 .LP
 798 次のコマンドは、ca、ca1、ca2、および e1 の 4 つの鍵ペアを作成します。 


 799 .nf
 800 \f3
 801 .fl
 802 keytool \-alias ca \-dname CN=CA \-genkeypair
 803 .fl
 804 keytool \-alias ca1 \-dname CN=CA \-genkeypair
 805 .fl
 806 keytool \-alias ca2 \-dname CN=CA \-genkeypair
 807 .fl
 808 keytool \-alias e1 \-dname CN=E1 \-genkeypair
 809 .fl
 810 \fP
 811 .fi
 812 .LP
 813 次の 2 つのコマンドは、署名付き証明書のチェーンを作成します。 \f2ca\fP は ca1 に署名し、 \f2ca1 signs ca2\fP に署名します。すべて自己発行です。 
 814 .nf
 815 \f3
 816 .fl
 817 keytool \-alias ca1 \-certreq | keytool \-alias ca \-gencert \-ext san=dns:ca1 | keytool \-alias ca1 \-importcert
 818 .fl
 819 keytool \-alias ca2 \-certreq | $KT \-alias ca1 \-gencert \-ext san=dns:ca2 | $KT \-alias ca2 \-importcert
 820 .fl
 821 \fP
 822 .fi
 823 .LP
 824 次のコマンドは、証明書 e1 を作成してファイル e1.cert に格納します。この証明書は ca2 によって署名されます。その結果、e1 の証明書チェーンには ca、ca1、および ca2 が含まれることになります。 
 825 .nf
 826 \f3
 827 .fl
 828 keytool \-alias e1 \-certreq | keytool \-alias ca2 \-gencert > e1.cert
 829 .fl
 830 \fP
 831 .fi
 832 .TP 3
 833 \-genkeypair {\-alias alias} {\-keyalg keyalg} {\-keysize keysize} {\-sigalg sigalg} [\-dname dname] [\-keypass keypass] {\-startdate value} {\-ext ext}* {\-validity valDays} {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption} 
 834 .LP
 835 鍵のペア (公開鍵および関連する非公開鍵) を生成します。公開鍵は X.509 v3 自己署名証明書でラップされます。証明書は、単一の要素を持つ証明書チェーンとして格納されます。この証明書チェーンと非公開鍵は、\f2alias\fP で特定される新しいキーストアエントリに格納されます。 
 836 .LP
 837 \f2keyalg\fP は鍵のペアの生成に使用するアルゴリズムを、\f2keysize\fP は生成する各鍵のサイズを、それぞれ指定します。\f2sigalg\fP には、自己署名証明書に署名を付けるときに使うアルゴリズムを指定します。このアルゴリズムは、\f2keyalg\fP と互換性のあるものでなければなりません。 
 838 .LP
 839 \f2dname\fP には、\f2alias\fP に関連付け、自己署名証明書の issuer フィールドと subject フィールドとして使う X.500 識別名を指定します。 コマンド行で識別名を指定しなかった場合は、識別名の入力を求められます。 
 840 .LP
 841 \f2keypass\fP には、生成される鍵のペアのうち、非公開鍵を保護するのに使うパスワードを指定します。パスワードを指定しなかった場合は、パスワードの入力を求められます。このとき、Return キーを押すと、キーストアのパスワードと同じパスワードが鍵のパスワードに設定されます。\f2keypass\fP は、6 文字以上にする必要があります。 
 842 .LP
 843 \f2startdate\fP には、証明書の発行時刻を指定します。これは、X.509 証明書の「Validity」フィールドの「Not Before」値とも呼ばれます。 
 844 .LP
 845 オプションの値は、次の 2 つの形式のいずれかで設定できます。 
 846 .RS 3
 847 .TP 3
 848 1.
 849 ([+\-]\f2nnn\fP[ymdHMS])+ 
 850 .TP 3
 851 2.
 852 [yyyy/mm/dd] [HH:MM:SS] 
 853 .RE
 854 .LP
 855 最初の形式では、発行時刻は、指定される値だけ現在の時刻から移ります。指定される値は、一連の下位の値を連結したものになります。下位の各値で、プラス記号 (「+」) は時間が進むことを、マイナス記号 (「\-」) は時間が戻ることを意味しています。移る時間は \f2nnn\fP で、単位は年、月、日、時間、分、または秒です (それぞれ、1 文字の「y」、「m」、「d」、「H」、「M」、または「S」で示されている)。下位の各値で \f2java.util.GregorianCalendar.add(int field, int amount)\fP メソッドを使うことで、発行時刻の追加の値が左から右へ計算されます。たとえば、 \f2「\-startdate \-1y+1m\-1d」\fPと指定すると、開始時刻は次のようになります。 
 856 .nf
 857 \f3
 858 .fl
 859    Calendar c = new GregorianCalendar();
 860 .fl
 861    c.add(Calendar.YEAR, \-1);
 862 .fl
 863    c.add(Calendar.MONTH, 1);
 864 .fl
 865    c.add(Calendar.DATE, \-1);
 866 .fl
 867    return c.getTime()
 868 .fl
 869 \fP
 870 .fi
 871 .LP
 872 2 番目の形式では、ユーザーは、年/月/日と時間:分:秒の 2 つの部分で厳密な開始時刻を設定します (地元の時間帯を使用)。ユーザーは、1 つの部分だけを指定できます。これは、もう 1 つの部分は現在の日付 (または時刻) と同じになるということです。ユーザーは、形式の定義に示されているように、桁数を厳密に指定する必要があります (短い場合は 0 で埋める)。日付と時刻の両方が指定された状態で、2 つの部分の間に空白文字が 1 つ (1 つだけ) あります。時間は常に 24 時間形式で指定してください。 
 873 .LP
 874 オプションを指定しないと、開始日付は現在の時刻になります。オプションは、最大で 1 回指定できます。 
 875 .LP
 876 \f2valDays\fP には、証明書の有効日数を指定します ( \f2\-startdate\fP で指定された日付、または \f2\-startdate\fP が指定されていない場合は現在の日付から始まる)。 
 877 .LP
 878 このコマンドは、以前のリリースでは \f2\-genkey\fP という名前でした。この古い名前は、このリリースでも引き続きサポートされており、今後のリリースでもサポートされる予定です。ただし、今後はわかりやすいように、新しい名前 \f2\-genkeypair\fP を使用することをお勧めします。  
 879 .TP 3
 880 \-genseckey {\-alias alias} {\-keyalg keyalg} {\-keysize keysize} [\-keypass keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption} 
 881 .LP
 882 秘密鍵を生成し、それを新しい \f2KeyStore.SecretKeyEntry\fP (\f2alias\fP で特定される) 内に格納します。 
 883 .LP
 884 \f2keyalg\fP は秘密鍵の生成に使用するアルゴリズムを、\f2keysize\fP は生成する鍵のサイズを、それぞれ指定します。\f2keypass\fP は秘密鍵の保護に使用するパスワードです。パスワードを指定しなかった場合は、パスワードの入力を求められます。このとき、Return キーを押すと、キーストアのパスワードと同じパスワードが鍵のパスワードに設定されます。\f2keypass\fP は、6 文字以上にする必要があります。  
 885 .TP 3
 886 \-importcert {\-alias alias} {\-file cert_file} [\-keypass keypass] {\-noprompt} {\-trustcacerts} {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption} 
 887 .LP
 888 ファイル \f2cert_file\fP から証明書または証明書チェーン (証明書チェーンの場合は、PKCS#7 形式の応答または一連の X.509 証明書で提供されるもの) を読み込み、\f2alias\fP によって特定されるキーストアエントリに格納します。ファイルが指定されていない場合は、標準入力から証明書または証明書チェーンを読み込みます。 
 889 .LP
 890 \f3keytool\fP では、X.509 v1、v2、v3 の証明書、および、PKCS#7 形式の証明書から構成されている PKCS#7 形式の証明書チェーンをインポートできます。インポートするデータは、バイナリ符号化方式、または出力可能符号化方式 (Base64 符号化とも呼ばれる) のどちらかで提供する必要があります。 出力可能符号化方式は、インターネット RFC 1421 証明書符号化規格で定義されています。この符号化方式の場合、証明書は「\-\-\-\-\-BEGIN」で始まる文字列で開始され、「\-\-\-\-\-END」で始まる文字列で終了しなければなりません。 
 891 .LP
 892 証明書のインポートには、次の 2 つの目的があります。 
 893 .RS 3
 894 .TP 3
 895 1.
 896 信頼できる証明書のリストに証明書を追加する 
 897 .TP 3
 898 2.
 899 CA に証明書署名要求 (\-certreq コマンドを参照) を送信した結果として、CA から受け取った証明応答をインポートする 
 900 .RE
 901 .LP
 902 どちらの種類のインポートを行うかは、 \f2\-alias\fP オプションの値によって指定します。 
 903 .RS 3
 904 .TP 3
 905 1.
 906 \f3別名がキーエントリをポイントしない場合\fP、\f3keytool\fP はユーザーが信頼できる証明書エントリを追加しようとしているものと見なします。この場合、別名がキーストア内にすでに存在していてはいけません。別名がすでに存在している場合、その別名の信頼できる証明書がすでに存在することになるので、\f3keytool\fP はエラーを出力し、証明書のインポートを行いません。 
 907 .TP 3
 908 2.
 909 .LP
 910 \f3別名がキーエントリをポイントしない場合\fP、\f3keytool\fP はユーザーが信頼できる証明書エントリを追加しようとしているものと見なします。  
 911 .RE
 912 \f3新しい信頼できる証明書のインポート\fP 
 913 .LP
 914 \f3keytool\fP は、キーストアに証明書を追加する前に、キーストア内にすでに存在する信頼できる証明書を使って、インポートする証明書から (ルート CA の) 自己署名証明書に至るまでの信頼のチェーンの構築を試みます。 
 915 .LP
 916 \f2\-trustcacerts\fP オプションを指定した場合、追加の証明書は信頼できるすなわち cacerts という名前のファイルに含まれる証明書のチェーンと見なされます。 
 917 .LP
 918 \f3keytool\fP が、インポートする証明書から自己署名証明書 (キーストアまたは cacerts ファイルに含まれている自己署名証明書) に至るまでの信頼のパスの構築に失敗した場合は、インポートする証明書の情報を表示し、ユーザーに確認を求めます。 この場合は、表示された証明書のフィンガープリントと、ほかのなんらかの (信頼できる) 情報源 (証明書の所有者本人など) から入手したフィンガープリントとを比較します。「信頼できる証明書」として証明書をインポートするときは、証明書が有効であることを慎重に確認する必要があります。詳細は、「信頼できる証明書のインポートに関する注意事項」を参照してください。インポート操作は、証明書を確認する時点で中止できます。ただし、 \f2\-noprompt\fP オプションが指定されている場合、ユーザーとの対話は行われません。 
 919 \f3証明応答のインポート\fP 
 920 .LP
 921 「証明応答」をインポートするときは、キーストア内の信頼できる証明書、および (\-trustcacerts オプションが指定されている場合は) cacerts キーストアファイルで構成された証明書を使って証明応答が検査されます。 
 922 .LP
 923 証明応答が信頼できるかどうかを決定する方法は次のとおりです。 
 924 .RS 3
 925 .TP 2
 926 o
 927 \f3証明応答が単一の X.509 証明書である場合\fP、\f3keytool\fP は、証明応答から (ルート CA の) 自己署名証明書に至るまでの信頼チェーンの確立を試みます。証明応答と、証明応答の認証に使われる証明書の階層構造は、\f2alias\fP の新しい証明書チェーンを形成します。信頼チェーンが確立されない場合、証明応答はインポートされません。この場合、\f3keytool\fP は証明書を出力せず、ユーザーに検証を求めるプロンプトを表示します。ユーザーが証明応答の信頼性を判断するのは、不可能ではなくても非常に困難だからです。 
 928 .TP 2
 929 o
 930 \f3証明応答が PKCS#7 形式の証明書チェーンまたは一連の X.509 証明書である場合\fP、チェーンは、ユーザーの証明書が最初に、0 以上の CA 証明書がその次にくるように並べられます。チェーンが自己署名のルート CA 証明書で終わり、 \f2\-trustcacerts\fP オプションが指定されている場合、\f3keytool\fP は、その証明書と、キーストア内または「cacerts」キーストアファイル内の信頼できるすべての証明書を照合しようとします。チェーンが自己署名のルート CA 証明書で終わっておらず、 \f2\-trustcacerts\fP オプションが指定されている場合、\f3keytool\fP は、キーストア内または「cacerts」キーストアファイル内の信頼できる証明書から自己署名のルート CA 証明書を見つけてそれをチェーンの末尾に追加しようとします。その証明書が見つからず、 \f2\-noprompt\fP オプションが指定されていない場合は、チェーン内の最後の証明書の情報が出力され、ユーザーは確認を求められます。 
 931 .RE
 932 .LP
 933 証明書応答内の公開鍵が \f2alias\fP の下にすでに格納されているユーザーの公開鍵に一致した場合、古い証明書チェーンが応答内の新しい証明書チェーンで置き換えられます。以前の証明書チェーンを新しい証明書チェーンで置き換えることができるのは、有効な \f2keypass\fP、つまり該当するエントリの非公開鍵を保護するためのパスワードを指定した場合だけです。パスワードを指定しておらず、非公開鍵のパスワードがキーストアのパスワードと異なる場合は、非公開鍵のパスワードの入力を求められます。 
 934 .LP
 935 このコマンドは、以前のリリースでは \f2\-import\fP という名前でした。この古い名前は、このリリースでも引き続きサポートされており、今後のリリースでもサポートされる予定です。ただし、今後はわかりやすいように、新しい名前 \f2\-importcert\fP を使用することをお勧めします。    
 936 .TP 3
 937 \-importkeystore \-srckeystore srckeystore \-destkeystore destkeystore {\-srcstoretype srcstoretype} {\-deststoretype deststoretype} [\-srcstorepass srcstorepass] [\-deststorepass deststorepass] {\-srcprotected} {\-destprotected} {\-srcalias srcalias {\-destalias destalias} [\-srckeypass srckeypass] [\-destkeypass destkeypass] } {\-noprompt} {\-srcProviderName src_provider_name} {\-destProviderName dest_provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption} 
 938 .LP
 939 ソースキーストアからターゲットキーストアへ、単一のエントリまたはすべてのエントリをインポートします。 
 940 .LP
 941 \f2srcalias\fP オプションが指定された場合、このコマンドは、その別名で特定される単一のエントリをターゲットキーストアにインポートします。\f2destalias\fP 経由でターゲット別名が指定されなかった場合、\f2srcalias\fP がターゲット別名として使用されます。ソースのエントリがパスワードで保護されていた場合、\f2srckeypass\fP を使ってそのエントリが回復されます。\f2srckeypass\fP が指定されなかった場合、\f3keytool\fP は \f2srcstorepass\fP を使ってそのエントリを回復しようとします。\f2srcstorepass\fP が指定されなかったか正しくなかった場合、ユーザーはパスワードの入力を求められます。ターゲットエントリは \f2destkeypass\fP によって保護されます。\f2destkeypass\fP が指定されなかった場合、ターゲットエントリはソースエントリのパスワードによって保護されます。 
 942 .LP
 943 \f2srcalias\fP オプションが指定されなかった場合、ソースキーストア内のすべてのエントリがターゲットキーストア内にインポートされます。各ターゲットエントリは対応するソースエントリの別名の下に格納されます。ソースのエントリがパスワードで保護されていた場合、\f2srcstorepass\fP を使ってそのエントリが回復されます。\f2srcstorepass\fP が指定されなかったか正しくなかった場合、ユーザーはパスワードの入力を求められます。ソースキーストア内のあるエントリタイプがターゲットキーストアでサポートされていない場合や、あるエントリをターゲットキーストアに格納する際にエラーが発生した場合、ユーザーはそのエントリをスキップして処理を続行するか、あるいは処理を中断するかの選択を求められます。ターゲットエントリはソースエントリのパスワードによって保護されます。 
 944 .LP
 945 ターゲット別名がターゲットキーストア内にすでに存在していた場合、ユーザーは、そのエントリを上書きするか、あるいは異なる別名の下で新しいエントリを作成するかの選択を求められます。 
 946 .LP
 947 \f2\-noprompt\fP を指定した場合、ユーザーは新しいターゲット別名の入力を求められません。既存のエントリはそのターゲット別名で自動的に上書きされます。最後に、インポートできないエントリは自動的にスキップされ、警告が出力されます。  
 948 .TP 3
 949 \-printcertreq {\-file file} 
 950 .LP
 951 PKCS #10 形式の証明書要求の内容を出力します。この要求は、keytool \-certreq コマンドで生成できます。このコマンドは、file から要求を読み込みます。file が省略されている場合は、標準入力から読み込みます。  
 952 .RE
 953 
 954 .LP
 955 .SS 
 956 データのエクスポート
 957 .LP
 958 .RS 3
 959 .TP 3
 960 \-certreq {\-alias alias} {\-dname dname} {\-sigalg sigalg} {\-file certreq_file} [\-keypass keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption} 
 961 .LP
 962 PKCS#10 形式を使って証明書署名要求 (CSR) を生成します。 
 963 .LP
 964 CSR は、証明書発行局 (CA) に送信することを目的としたものです。CA は、証明書要求者を (通常はオフラインで) 認証し、証明書または証明書チェーンを送り返します。 この証明書または証明書チェーンは、キーストア内の既存の証明書チェーン (最初は 1 つの自己署名証明書から構成される) に置き換えて使います。 
 965 .LP
 966 \f2alias\fP に関連付けられた非公開鍵は、PKCS#10 証明書要求を作成するのに使われます。非公開鍵はキーストア内ではパスワードによって保護されているので、非公開鍵にアクセスするには、適切なパスワードを提供する必要があります。コマンド行で \f2keypass\fP を指定しておらず、非公開鍵のパスワードがキーストアのパスワードと異なる場合は、非公開鍵のパスワードの入力を求められます。dname が指定されている場合は、それが CSR で主体として使用されます。それ以外の場合は、別名に関連付けられた X.500 識別名が使用されます。 
 967 .LP
 968 \f2sigalg\fP には、CSR に署名を付けるときに使うアルゴリズムを指定します。 
 969 .LP
 970 CSR は、ファイル \f2certreq_file\fP に格納されます。ファイルが指定されていない場合は、標準出力に CSR が出力されます。 
 971 .LP
 972 CA からの応答をインポートするには、\f2importcert\fP コマンドを使います。  
 973 .TP 3
 974 \-exportcert {\-alias alias} {\-file cert_file} {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-rfc} {\-v} {\-protected} {\-Jjavaoption} 
 975 .LP
 976 \f2alias\fP に関連付けられた証明書を (キーストアから) 読み込み、ファイル \f2cert_file\fP に格納します。 
 977 .LP
 978 ファイルが指定されていない場合は、標準出力に証明書が出力されます。 
 979 .LP
 980 デフォルトでは、バイナリ符号化方式の証明書が出力されます。 ただし、\-rfc オプションを指定した場合は、出力可能符号化方式の証明書が出力されます。 出力可能符号化方式は、インターネット RFC 1421 証明書符号化規格で定義されています。 
 981 .LP
 982 \f2alias\fP が、信頼できる証明書を参照している場合は、該当する証明書が出力されます。それ以外の場合、\f2alias\fP は、関連付けられた証明書チェーンを持つ鍵エントリを参照します。この場合は、チェーン内の最初の証明書が返されます。この証明書は、\f2alias\fP によって表されるエンティティーの公開鍵を認証する証明書です。 
 983 .LP
 984 このコマンドは、以前のリリースでは \f2\-export\fP という名前でした。この古い名前は、このリリースでも引き続きサポートされており、今後のリリースでもサポートされる予定です。ただし、今後はわかりやすいように、新しい名前 \f2\-exportcert\fP を使用することをお勧めします。  
 985 .RE
 986 
 987 .LP
 988 .SS 
 989 データの表示
 990 .LP
 991 .RS 3
 992 .TP 3
 993 \-list {\-alias alias} {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v | \-rfc} {\-protected} {\-Jjavaoption} 
 994 .LP
 995 \f2alias\fP で特定されるキーストアエントリの内容を (標準出力に) 出力します。別名が指定されていない場合は、キーストア全体の内容が表示されます。 
 996 .LP
 997 このコマンドは、デフォルトでは証明書の SHA1 フィンガープリントを表示します。 \f2\-v\fP オプションが指定されている場合は、所有者、発行者、シリアル番号、拡張機能などの付加的な情報とともに、人間が読むことのできる形式で証明書が表示されます。 \f2\-rfc\fP オプションが指定されている場合は、出力可能符号化方式で証明書の内容が表示されます。 出力可能符号化方式は、インターネット RFC 1421 証明書符号化規格で定義されています。 
 998 .LP
 999 \f2\-v\fP オプションと \f2\-rfc\fP オプションを同時に指定することはできません。  
1000 .TP 3
1001 \-printcert {\-file cert_file | \-sslserver host[:port]} {\-jarfile JAR_file {\-rfc} {\-v} {\-Jjavaoption} 
1002 .LP
1003 ファイル \f2cert_file\fP、\f2host:port\fP にある SSL サーバー、または署名付き JAR ファイル \f2JAR_file\fP ( \f2\-jarfile\fP オプションを指定) から証明書を読み込み、人間が読むことのできる形式で証明書の内容を表示します。ポートが指定されていない場合は、標準の HTTPS ポート 443 が想定されます。 \f2\-sslserver\fP および \f2\-file\fP オプションを同時に指定することはできません。同時に指定すると、エラーが報告されます。オプションが指定されていない場合は、標準入力から証明書を読み込みます。 
1004 .LP
1005 \f2\-rfc\fP が指定されている場合、keytool は、インターネット RFC 1421 標準で定義されているように、PEM モードで証明書を出力します。 
1006 .LP
1007 ファイルまたは標準入力から証明書を読み込む場合、その証明書は、インターネット RFC 1421 標準で定義されているように、バイナリ符号化方式または出力可能符号化方式で表示できます。 
1008 .LP
1009 SSL サーバーがファイアウォールの背後にある場合は、 \f2\-J\-Dhttps.proxyHost=proxyhost\fP と \f2\-J\-Dhttps.proxyPort=proxyport\fP をコマンド行で指定して、プロキシトンネリングを使用できます。詳細は、
1010 .na
1011 \f2「JSSE リファレンスガイド」\fP @
1012 .fi
1013 http://java.sun.com/javase/6/docs/technotes/guides/security/jsse/JSSERefGuide.htmlを参照してください。 
1014 .LP
1015 \f3注\fP: このオプションはキーストアとは関係なく使用できます。  
1016 .TP 3
1017 \-printcrl \-file crl_ {\-v} 
1018 .LP
1019 ファイル \f2crl_file\fP から証明書の取り消しリスト (CRL) を読み込みます。 
1020 .LP
1021 証明書の取り消しリスト (CRL) は、デジタル証明書を発行した証明書発行局 (CA) によって取り消されたデジタル証明書のリストです。CA は、\f2crl_file\fP を生成します。 
1022 .LP
1023 \f3注\fP: このオプションはキーストアとは関係なく使用できます。  
1024 .RE
1025 
1026 .LP
1027 .SS 
1028 キーストアの管理
1029 .LP
1030 .RS 3
1031 .TP 3
1032 \-storepasswd [\-new new_storepass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-Jjavaoption} 
1033 .LP
1034 キーストアの内容の整合性を保護するために使うパスワードを変更します。\f2new_storepass\fP には、新しいパスワードを指定します。new_storepass は、6 文字以上でなければなりません。  
1035 .TP 3
1036 \-keypasswd {\-alias alias} [\-keypass old_keypass] [\-new new_keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-Jjavaoption} 
1037 .LP
1038 \f2alias\fP によって特定される非公開/秘密鍵を保護するためのパスワードを、\f2old_keypass\fP から \f2new_keypass\fP に変更します。new_keypass は、6 文字以上でなければなりません。 
1039 .LP
1040 コマンド行で \f2\-keypass\fP オプションを指定しておらず、鍵のパスワードがキーストアのパスワードと異なる場合は、鍵のパスワードの入力を求められます。 
1041 .LP
1042 コマンド行で \f2\-new\fP オプションを指定しなかった場合は、新しいパスワードの入力を求められます。  
1043 .TP 3
1044 \-delete [\-alias alias] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption} 
1045 .LP
1046 \f2alias\fP によって特定されるエントリをキーストアから削除します。コマンド行で別名を指定しなかった場合は、別名の入力を求められます。  
1047 .TP 3
1048 \-changealias {\-alias alias} [\-destalias destalias] [\-keypass keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption} 
1049 .LP
1050 指定された \f2alias\fP から新しい別名 \f2destalias\fP へ、既存のキーストアエントリを移動します。ターゲット別名が指定されなかった場合、このコマンドはその入力を求めます。元のエントリがエントリパスワードで保護されていた場合、「\-keypass」オプション経由でそのパスワードを指定できます。鍵パスワードが指定されなかった場合、\f2storepass\fP (指定された場合) がまず試みられます。その試みが失敗すると、ユーザーはパスワードの入力を求められます。  


































































































































































1051 .RE
1052 
1053 .LP
1054 .SS 
1055 ヘルプの表示
1056 .LP
1057 .RS 3
1058 .TP 3
1059 \-help 
1060 .LP
1061 基本的なコマンドとそのオプションの一覧を表示します。 
1062 .LP
1063 特定のコマンドの詳細については、次のように入力してください。 \f2command_name\fP はコマンドの名前です。 
1064 .nf
1065 \f3
1066 .fl
1067     keytool \-\fP\f4command_name\fP\f3 \-help
1068 .fl
1069 \fP
1070 .fi
1071 .RE
1072 
1073 .LP
1074 .SH "例"
1075 .LP
1076 .LP
1077 ここでは、自分の鍵のペアおよび信頼できるエンティティーからの証明書を管理するためのキーストアを作成する場合を例として示します。
1078 .LP
1079 .SS 
1080 鍵のペアの生成
1081 .LP
1082 .LP
1083 まず、キーストアを作成して鍵のペアを生成する必要があります。次に示すのは、実行するコマンドの例です。
1084 .LP
1085 .nf
1086 \f3
1087 .fl
1088     keytool \-genkeypair \-dname "cn=Mark Jones, ou=Java, o=Oracle, c=US"
1089 .fl
1090       \-alias business \-keypass \fP\f4<非公開鍵の新しいパスワード>\fP\f3 \-keystore /working/mykeystore
1091 .fl
1092       \-storepass \fP\f4<キーストアの新しいパスワード>\fP\f3 \-validity 180
1093 .fl
1094 \fP
1095 .fi
1096 
1097 .LP
1098 .LP
1099 注: このコマンドは 1 行に入力しなければなりません。例で複数行に入力しているのは読みやすくするためです。
1100 .LP
1101 .LP
1102 この例では、working ディレクトリに mykeystore という名前のキーストアを作成し (キーストアはまだ存在していないと仮定する)、作成したキーストアに、\f2<キーストアの新しいパスワード>\fP で指定したパスワード を割り当てます。生成する公開鍵と非公開鍵のペアに対応するエンティティーの「識別名」は、通称が「Mark Jones」、組織単位が「Java」、組織が「Oracle」、2 文字の国番号が「US」です。公開鍵と非公開鍵のサイズはどちらも 1024 ビットで、鍵の作成にはデフォルトの DSA 鍵生成アルゴリズムを使用します。
1103 .LP
1104 .LP
1105 このコマンドは、公開鍵と識別名情報を含む自己署名証明書 (デフォルトの SHA1withDSA 署名アルゴリズムを使用) を作成します。証明書の有効期間は 180 日です。 証明書は、別名「business」で特定されるキーストアエントリ内の非公開鍵に関連付けられます。非公開鍵には、\f2<非公開鍵の新しいパスワード>\fP で指定したパスワードが割り当てられます。
1106 .LP
1107 .LP
1108 オプションのデフォルト値を使う場合は、上に示したコマンドを大幅に短くすることができます。実際には、オプションを 1 つも指定せずにコマンドを実行することも可能です。 デフォルト値を持つオプションでは、オプションを指定しなければデフォルト値が使われ、必要な値については入力を求められます。たとえば、単に次のように入力することもできます。
1109 .LP
1110 .nf
1111 \f3
1112 .fl
1113     keytool \-genkeypair
1114 .fl
1115 \fP
1116 .fi
1117 
1118 .LP
1119 .LP
1120 この場合は、mykey という別名でキーストアエントリが作成され、新しく生成された鍵のペア、および 90 日間有効な証明書がこのエントリに格納されます。このエントリは、ホームディレクトリ内の .keystore という名前のキーストアに置かれます。このキーストアがまだ存在していない場合は、作成されます。識別名情報、キーストアのパスワード、および非公開鍵のパスワードについては、入力を求められます。
1121 .LP
1122 .LP
1123 以下では、オプションを指定しないで \f2\-genkeypair\fP コマンドを実行したものとして例を示します。情報の入力を求められた場合は、最初に示した \f2\-genkeypair\fP コマンドの値を入力したものとします (たとえば、識別名には cn=Mark Jones, ou=Java, o=Oracle, c=US と指定)。
1124 .LP
1125 .SS 
1126 証明書発行局に対する署名付き証明書の要求
1127 .LP
1128 .LP
1129 現時点で手元にあるのは、1 通の自己署名証明書だけです。証明書に証明書発行局 (CA) の署名が付いていれば、ほかのユーザーから証明書が信頼できる可能性も高くなります。CA の署名を取得するには、まず、証明書署名要求 (CSR) を生成します。 たとえば、次のようにします。
1130 .LP
1131 .nf
1132 \f3
1133 .fl
1134     keytool \-certreq \-file MarkJ.csr
1135 .fl
1136 \fP
1137 .fi
1138 
1139 .LP
1140 .LP
1141 CSR (デフォルト別名「mykey」によって特定されるエンティティーの CSR) が作成され、MarkJ.csr という名前のファイルに置かれます。このファイルは、VeriSign などの CA に提出します。 CA は要求者を (通常はオフラインで) 認証し、要求者の公開鍵を認証した署名付きの証明書を送り返します。場合によっては、CA が証明書のチェーンを返すこともあります。証明書のチェーンでは、各証明書がチェーン内のその前の署名者の公開鍵を認証します。
1142 .LP
1143 .SS 
1144 CA からの証明書のインポート
1145 .LP
1146 .LP
1147 作成した自己署名証明書は、証明書チェーンで置き換える必要があります。証明書チェーンでは、各証明書が、「ルート」CA を起点とするチェーン内の次の証明書の署名者の公開鍵を認証します。
1148 .LP
1149 .LP
1150 CA からの証明応答をインポートするには、キーストアか、 \f2cacerts\fP キーストアファイル (importcert コマンドで説明) 内に 1 つ以上の「信頼できる証明書」がある必要があります。
1151 .LP
1152 .RS 3
1153 .TP 2
1154 o
1155 証明応答が証明書チェーンの場合は、チェーンのトップの証明書 (その CA の公開鍵を認証する「ルート」CA の証明書) だけを必要とする 
1156 .TP 2
1157 o
1158 証明応答が単一の証明書の場合は、証明書に署名した CA の発行用の証明書が必要で、その証明書が自己署名されない場合は、さらにその証明書の署名者用の証明書を必要とする。 このようにして自己署名される「ルート」CA の証明書までそれぞれ証明書を必要とする 
1159 .RE
1160 
1161 .LP
1162 .LP
1163 cacerts キーストアファイルは、いくつかの VeriSign ルート CA 証明書を含んだ状態で出荷されているので、VeriSign の証明書を、信頼できる証明書としてキーストア内にインポートする必要はないかもしれません。ただし、ほかの CA に対して署名付き証明書を要求していて、この CA の公開鍵を認証する証明書が、cacerts にまだ追加されていない場合は、該当する CA からの証明書を、「信頼できる証明書」としてインポートする必要があります。
1164 .LP
1165 .LP
1166 通常、CA からの証明書は、自己署名証明書、またはほかの CA によって署名された証明書です (後者の場合は、該当するほかの CA の公開鍵を認証する証明書も必要)。たとえば、ABC という企業が CA だとします。このとき、この CA の公開鍵を認証する自己署名証明書と考えられる ABCCA.cer という名前のファイルを、ABC から入手したとします。
1167 .LP
1168 .LP
1169 「信頼できる証明書」として証明書をインポートするときは、証明書が有効であることを慎重に確認する必要があります。まず、証明書の内容を表示し (\f3keytool\fP \f2\-printcert\fP コマンドを使用するか、または \-noprompt オプションを指定しないで \f3keytool\fP \f2\-importcert\fP コマンドを使用し、 表示された証明書のフィンガープリントが、期待されるフィンガープリントと一致するかどうかを確認します。証明書を送信した人物に連絡し、この人物が提示した (または安全な公開鍵のリポジトリによって提示される) フィンガープリントと、上のコマンドで表示されたフィンガープリントとを比較します。フィンガープリントが一致すれば、送信途中でほかの何者か (攻撃者など) による証明書のすり替えが行われていないことを確認できます。送信途中でこの種の攻撃が行われていた場合、チェックを行わずに証明書をインポートすると、攻撃者によって署名されたすべてのものを信頼することになります。
1170 .LP
1171 .LP
1172 ABCCA.cer を有効な証明書として信頼する場合は、証明書をキーストアに追加できます。 たとえば、次のようにします。
1173 .LP
1174 .nf
1175 \f3
1176 .fl
1177     keytool \-importcert \-alias abc \-file ABCCA.cer
1178 .fl
1179 \fP
1180 .fi
1181 
1182 .LP
1183 .LP
1184 ABCCA.cer ファイルのデータを含む「信頼できる証明書」のエントリがキーストア内に作成され、該当するエントリに abc という別名が割り当てられます。
1185 .LP
1186 .SS 
1187 CA からの証明応答のインポート
1188 .LP
1189 .LP
1190 証明書署名要求の提出先の CA の公開鍵を認証する証明書をインポートしたあとは (または同種の証明書がすでに cacerts ファイル内に存在している場合は)、証明応答をインポートし、自己署名証明書を証明書チェーンで置き換えることができます。この証明書チェーンは、CA の応答がチェーンの場合、証明書署名要求に対する応答として CA から送り返された証明書チェーンです。 また、CA の応答が単一の証明書の場合は、この証明応答と、インポート先のキーストア内または cacerts キーストアファイル内にすでに存在する信頼できる証明書とを使って構築した証明書チェーンです。
1191 .LP
1192 .LP
1193 たとえば、証明書署名要求を VeriSign に送信したとします。送り返された証明書の名前が VSMarkJ.cer だとすると、次のようにして応答をインポートできます。
1194 .LP
1195 .nf
1196 \f3
1197 .fl
1198     keytool \-importcert \-trustcacerts \-file VSMarkJ.cer
1199 .fl
1200 \fP
1201 .fi
1202 
1203 .LP
1204 .SS 
1205 公開鍵を認証する証明書のエクスポート
1206 .LP
1207 .LP
1208 たとえば、jarsigner(1) ツールを使って Java ARchive (JAR) ファイルに署名を付けたとします。この JAR ファイルはクライアントによって使われますが、クライアント側では署名を認証したいと考えています。
1209 .LP
1210 .LP
1211 クライアントが署名を認証する方法の 1 つに、まず自分の公開鍵の証明書を「信頼できる」エントリとしてクライアントのキーストアにインポートする方法があります。そのためには、証明書をエクスポートして、クライアントに提供します。たとえば、次のようにして、証明書を \f2MJ.cer\fP という名前のファイルにコピーします。このエントリには「mykey」という別名が使われているとします。
1212 .LP
1213 .nf
1214 \f3
1215 .fl
1216     keytool \-exportcert \-alias mykey \-file MJ.cer
1217 .fl
1218 \fP
1219 .fi
1220 
1221 .LP
1222 .LP
1223 証明書と署名付き JAR ファイルを入手したクライアントは、\f3jarsigner\fP ツールを使って署名を認証できます。
1224 .LP
1225 .SS 
1226 キーストアのインポート
1227 .LP
1228 .LP
1229 コマンド「importkeystore」を使えば、あるキーストアの全体を別のキーストア内にインポートできます。これは、鍵や証明書といったソースキーストア内のすべてのエントリが、単一のコマンドを使ってターゲットキーストア内にインポートされることを意味します。このコマンドを使えば、異なるタイプのキーストア内に含まれるエントリをインポートすることができます。インポート時には、ターゲットキーストア内の新しいエントリはすべて、元と同じ別名および (秘密鍵や非公開鍵の場合は) 保護用パスワードを持ちます。ソースキーストア内の非公開鍵や秘密鍵の回復時に問題が発生した場合、\f3keytool\fP はユーザーにパスワードの入力を求めます。このコマンドは、別名の重複を検出すると、ユーザーに新しい別名の入力を求めます。ユーザーは、新しい別名を指定することも、単純に既存の別名の上書きを \f3keytool\fP に許可することもできます。
1230 .LP
1231 .LP
1232 たとえば、通常の JKS タイプのキーストア key.jks 内のエントリを PKCS #11 タイプのハードウェアベースのキーストア内にインポートするには、次のコマンドを使用できます。
1233 .LP
1234 .nf
1235 \f3
1236 .fl
1237   keytool \-importkeystore
1238 .fl
1239     \-srckeystore key.jks \-destkeystore NONE
1240 .fl
1241     \-srcstoretype JKS \-deststoretype PKCS11
1242 .fl
1243     \-srcstorepass \fP\f4<ソースキーストアのパスワード>\fP\f3 \-deststorepass \fP\f4<ターゲットキーストアのパスワード>\fP\f3
1244 .fl
1245 \fP
1246 .fi
1247 
1248 .LP
1249 .LP
1250 また、importkeystore コマンドを使えば、あるソースキーストア内の単一のエントリをターゲットキーストアにインポートすることもできます。この場合、上記の例で示したオプションに加え、インポート対象となる別名を指定する必要があります。srcalias オプションを指定する場合には、ターゲット別名もコマンド行から指定できるほか、秘密/非公開鍵の保護用パスワードやターゲット保護用パスワードも指定できます。その方法を示すコマンドを次に示します。
1251 .LP
1252 .nf
1253 \f3
1254 .fl
1255   keytool \-importkeystore
1256 .fl
1257     \-srckeystore key.jks \-destkeystore NONE
1258 .fl
1259     \-srcstoretype JKS \-deststoretype PKCS11
1260 .fl
1261     \-srcstorepass \fP\f4<ソースキーストアのパスワード>\fP\f3 \-deststorepass \fP\f4<ターゲットキーストアのパスワード>\fP\f3
1262 .fl
1263     \-srcalias myprivatekey \-destalias myoldprivatekey
1264 .fl
1265     \-srckeypass \fP\f4<ソースエントリのパスワード>\fP\f3 \-destkeypass \fP\f4<ターゲットエントリのパスワード>\fP\f3
1266 .fl
1267     \-noprompt
1268 .fl
1269 \fP
1270 .fi
1271 
1272 .LP
1273 .SS 
1274 一般的な SSL サーバー用の証明書の生成
1275 .LP
1276 .LP
1277 次に、3 つのエンティティー、つまりルート CA (root)、中間 CA (ca)、および SSL サーバー (server) 用の鍵ペアと証明書を生成する keytool コマンドを示します。すべての証明書を同じキーストアに格納するようにしてください。これらの例では、鍵のアルゴリズムとして RSA を指定することをお勧めします。
1278 .LP
1279 .nf
1280 \f3
1281 .fl
1282 keytool \-genkeypair \-keystore root.jks \-alias root \-ext bc:c
1283 .fl
1284 keytool \-genkeypair \-keystore ca.jks \-alias ca \-ext bc:c
1285 .fl
1286 keytool \-genkeypair \-keystore server.jks \-alias server
1287 .fl
1288 
1289 .fl
1290 keytool \-keystore root.jks \-alias root \-exportcert \-rfc > root.pem
1291 .fl
1292 
1293 .fl
1294 keytool \-storepass \fP\f4<storepass>\fP\f3 \-keystore ca.jks \-certreq \-alias ca | keytool \-storepass \fP\f4<storepass>\fP\f3 \-keystore root.jks \-gencert \-alias root \-ext BC=0 \-rfc > ca.pem
1295 .fl
1296 keytool \-keystore ca.jks \-importcert \-alias ca \-file ca.pem
1297 .fl
1298 
1299 .fl
1300 keytool \-storepass \fP\f4<storepass>\fP\f3 \-keystore server.jks \-certreq \-alias server | keytool \-storepass \fP\f4<storepass>\fP\f3 \-keystore ca.jks \-gencert \-alias ca \-ext ku:c=dig,kE \-rfc > server.pem
1301 .fl
1302 cat root.pem ca.pem server.pem | keytool \-keystore server.jks \-importcert \-alias server
1303 .fl
1304 \fP
1305 .fi
1306 
1307 .LP
1308 .SH "用語と警告"
1309 .LP
1310 .SS 
1311 KeyStore
1312 .LP
1313 .LP
1314 キーストアは、暗号化の鍵と証明書を格納するための機能です。
1315 .LP
1316 .RS 3
1317 .TP 2
1318 o
1319 \f3キーストアのエントリ\fP 
1320 .LP
1321 キーストアには異なるタイプのエントリを含めることができます。\f3keytool\fP でもっとも適用範囲の広いエントリタイプは、次の 2 つです。 
1322 .RS 3
1323 .TP 3
1324 1.
1325 \f3鍵のエントリ\fP \- 各エントリは、非常に重要な暗号化の鍵の情報を保持します。この情報は、許可していないアクセスを防ぐために、保護された形で格納されます。 一般に、この種のエントリとして格納される鍵は、秘密鍵か、対応する公開鍵の証明書チェーンを伴う非公開鍵です。\f3keytool\fP がこの両方のタイプのエントリを処理できるのに対し、\f3jarsigner\fP ツールは後者のタイプのエントリ、つまり非公開鍵とそれに関連付けられた証明書チェーンのみを処理します。 
1326 .TP 3
1327 2.
1328 \f3信頼できる証明書のエントリ\fP \- 各エントリは、第三者からの公開鍵証明書を 1 つ含んでいます。この証明書は、「信頼できる証明書」と呼ばれます。 それは、証明書内の公開鍵が、証明書の「Subject」(所有者) によって特定されるアイデンティティーに由来するものであることを、キーストアの所有者が信頼するからです。証明書の発行者は、証明書に署名を付けることによって、その内容を保証します。 
1329 .RE
1330 .TP 2
1331 o
1332 \f3キーストアの別名\fP 
1333 .LP
1334 キーストアのすべてのエントリ (鍵および信頼できる証明書) は、一意の「別名」を介してアクセスされます。 
1335 .LP
1336 別名を指定するのは、\-genseckey コマンドを使って秘密鍵を生成したり、\-genkeypair コマンドを使って鍵ペア (公開鍵と非公開鍵) を生成したり、\-importcert コマンドを使って証明書または証明書チェーンを信頼できる証明書のリストに追加したりするなど、特定のエンティティーをキーストアに追加する場合です。これ以後、\f3keytool\fP コマンドでエンティティーを参照する場合は、このときに指定した別名を使用する必要があります。 
1337 .LP
1338 たとえば、\f2duke\fP という別名を使って新しい公開鍵と非公開鍵のペアを生成し、公開鍵を自己署名証明書 (「証明書チェーン」を参照) でラップするとします。 この場合は、次のコマンドを実行します。 
1339 .nf
1340 \f3
1341 .fl
1342     keytool \-genkeypair \-alias duke \-keypass dukekeypasswd
1343 .fl
1344 \fP
1345 .fi
1346 .LP
1347 ここでは、初期パスワードとして dukekeypasswd を指定しています。 以後、別名 duke 連付けられた非公開鍵にアクセスするコマンドを実行するときは、このパスワードが必要になります。 duke の非公開鍵のパスワードをあとから変更するには、次のコマンドを実行します。 
1348 .nf
1349 \f3
1350 .fl
1351     keytool \-keypasswd \-alias duke \-keypass dukekeypasswd \-new newpass
1352 .fl
1353 \fP
1354 .fi
1355 .LP
1356 パスワードが、dukekeypasswd から newpass に変更されます。 
1357 .LP
1358 注: テストを目的とする場合、または安全であることがわかっているシステムで実行する場合以外は、コマンド行やスクリプトでパスワードを指定しないでください。必要なパスワードのオプションをコマンド行で指定しなかった場合は、パスワードの入力を求められます。   
1359 .TP 2
1360 o
1361 \f3キーストアの実装\fP 
1362 .LP
1363 \f2KeyStore\fP クラス ( \f2java.security\fP パッケージで提供される) には、キーストア内の情報に対するアクセスと変更を行うための明確に定義されたインタフェースが用意されています。キーストアの固定実装としては、それぞれが特定の「タイプ」のキーストアを対象とする複数の異なる実装が存在可能です。 
1364 .LP
1365 現在、\f3keytool\fP と \f3jarsigner\fP の 2 つのコマンド行ツールと、\f3Policy Tool\fP という名前の 1 つの GUI ベースのツールが、キーストアの実装を使用しています。 \f2KeyStore\fP は public として使用可能なので、JDK ユーザーは KeyStore を使ったほかのセキュリティーアプリケーションも作成できます。 
1366 .LP
1367 キーストアには、Oracle が提供する組み込みのデフォルトの実装があります。これは、JKS という名前の独自のキーストアタイプ (形式) を利用するもので、キーストアをファイルとして実装しています。この実装では、個々の非公開鍵は個別のパスワードによって保護され、キーストア全体の整合性も (非公開鍵とは別の) パスワードによって保護されます。 
1368 .LP
1369 キーストアの実装は、プロバイダベースです。具体的には、 \f2KeyStore\fP が提供するアプリケーションインタフェースは、Service Provider Interface (SPI) という形で実装されています。つまり、対応する \f2KeystoreSpi\fP 抽象クラス (これも \f2java.security\fP パッケージに含まれている) があり、このクラスが、「プロバイダ」が実装する必要のある Service Provider Interface のメソッドを定義しています。ここで、「プロバイダ」とは、Java Security API によってアクセス可能なサービスのサブセットに対し、その固定実装を提供するパッケージまたはパッケージの集合のことです。したがって、キーストアの実装を提供するには、
1370 .na
1371 \f2「Java(TM) 暗号化アーキテクチャー用プロバイダの実装方法」\fP @
1372 .fi
1373 http://java.sun.com/javase/6/docs/technotes/guides/security/crypto/HowToImplAProvider.htmlで説明しているように、クライアントが「プロバイダ」を実装し、KeystoreSpi サブクラスの実装を提供する必要があります。 
1374 .LP
1375 アプリケーションでは、KeyStore クラスが提供する getInstance ファクトリメソッドを使うことで、さまざまなプロバイダから異なる「タイプ」のキーストアの実装を選択できます。 キーストアのタイプは、キーストア情報の格納形式とデータ形式を定義するとともに、キーストア内の非公開/秘密鍵とキーストア自体の整合性を保護するために使われるアルゴリズムを定義します。異なるタイプのキーストアの実装には、互換性はありません。 
1376 .LP
1377 \f3keytool\fP は、任意のファイルベースのキーストア実装で動作します。keytool は、コマンド行から渡されたキーストアの場所をファイル名として扱い、これを FileInputStream に変換して、FileInputStream からキーストアの情報をロードします。一方、\f3jarsigner\fP ツールと \f3policytool\fP ツールは、URL で指定可能な任意の場所からキーストアを読み込むことができます。 
1378 .LP
1379 \f3keytool\fP と \f3jarsigner\fP の場合、\f2\-storetype\fP オプションを使ってコマンド行でキーストアのタイプを指定できます。\f3Policy Tool\fPの場合は、「キーストア」メニューによってキーストアのタイプを指定できます。 
1380 .LP
1381 キーストアのタイプを明示的に指定しない場合、keytool、jarsigner、および policytool の各ツールは、セキュリティープロパティーファイル内で指定された \f2keystore.type\fP プロパティーの値に基づいてキーストアの実装を選択します。セキュリティープロパティーファイルは、\f2java.security\fP という名前でセキュリティープロパティーディレクトリ \f2java.home\fP/lib/security に置かれています。\f2java.home\fP は、実行環境のディレクトリ (SDK の \f2jre\fP ディレクトリまたは Java 2 Runtime Environment の最上位ディレクトリ) です。  
1382 .LP
1383 各ツールは、 \f2keystore.type\fP の値を取得し、この値で指定されたタイプのキーストアを実装しているプロバイダが見つかるまで、現在インストールされているすべてのプロバイダを調べます。目的のプロバイダが見つかると、そのプロバイダからのキーストアの実装を使います。 
1384 .LP
1385 \f2KeyStore\fP クラスでは \f2getDefaultType\fP という名前の static メソッドが定義されており、アプリケーションとアプレットはこのメソッドを使うことで \f2keystore.type\fP プロパティーの値を取得できます。次のコードは、デフォルトのキーストアタイプ ( \f2keystore.type\fP プロパティーで指定されたタイプ) のインスタンスを生成します。 
1386 .nf
1387 \f3
1388 .fl
1389     KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
1390 .fl
1391 \fP
1392 .fi
1393 .LP
1394 デフォルトのキーストアタイプは JKS (Oracle が提供する独自のタイプのキーストアの実装) です。これは、セキュリティープロパティーファイル内の次の行によって指定されています。 
1395 .nf
1396 \f3
1397 .fl
1398     keystore.type=jks
1399 .fl
1400 \fP
1401 .fi
1402 .LP
1403 各ツールでデフォルト以外のキーストアの実装を使用するには、上の行を変更して別のキーストアのタイプを指定します。 
1404 .LP
1405 たとえば、pkcs12 と呼ばれるタイプのキーストアの実装を提供しているプロバイダパッケージを使用するには、上の行を次のように変更します。 
1406 .nf
1407 \f3
1408 .fl
1409     keystore.type=pkcs12
1410 .fl
1411 \fP
1412 .fi
1413 .LP
1414 注: キーストアのタイプの指定では、大文字と小文字は区別されません。たとえば、JKS と jks は同じものとして扱われます。  
1415 .RE
1416 
1417 .LP
1418 .SS 































































































1419 証明書
1420 .LP
1421 \f3証明書\fP (\f3公開鍵証明書\fPとも呼ぶ) とは、あるエンティティー (「発行者」) からのデジタル署名付きの文書のことです。 証明書には、ほかのあるエンティティー (「署名者」) の公開鍵 (およびその他の情報) が特別な値を持っていることが書かれています。 
1422 .RS 3
1423 .TP 2
1424 o
1425 \f3証明書の用語\fP 
1426 .RS 3
1427 .TP 3
1428 公開鍵 
1429 .LP
1430 公開鍵は、特定のエンティティーに関連付けられた数です。公開鍵は、該当するエンティティーとの間に信頼できる関係を持つ必要があるすべての人に対して公開することを意図したものです。公開鍵は、署名を検証するのに使われます。  
1431 .TP 3
1432 デジタル署名 
1433 .LP
1434 データが「デジタル署名」されると、そのデータは、エンティティーの「アイデンティティー」と、そのエンティティーがデータの内容について知っていることを証明する署名とともに格納されます。エンティティーの非公開鍵を使ってデータに署名を付けると、データの偽造は不可能になります。  
1435 .TP 3
1436 アイデンティティー 
1437 .LP
1438 エンティティーを特定するための既知の方法です。システムによっては、公開鍵をアイデンティティーにするものがあります。公開鍵のほかにも、Unix UID や電子メールアドレス、X.509 識別名など、さまざまなものをアイデンティティーとすることができます。  
1439 .TP 3
1440 署名 
1441 .LP
1442 署名は、なんらかのデータを基にエンティティー (署名者。 証明書に関しては発行者とも呼ばれる) の非公開鍵を使って計算されます。  
1443 .TP 3
1444 非公開鍵 
1445 .LP
1446 非公開鍵は特定のエンティティーだけが知っている数のことで、この数のことを、そのエンティティーの非公開鍵といいます。非公開鍵は、ほかに知られないように秘密にしておくことが前提になっています。非公開鍵と公開鍵は、すべての公開鍵暗号化システムで対になって存在しています。DSA などの典型的な公開鍵暗号化システムの場合、1 つの非公開鍵は正確に 1 つの公開鍵に対応します。非公開鍵は、署名を計算するのに使われます。  
1447 .TP 3
1448 エンティティー 
1449 .LP
1450 エンテンティーは、人、組織、プログラム、コンピュータ、企業、銀行など、一定の度合いで信頼の対象となるさまざまなものを指します。  
1451 .RE
1452 .LP
1453 公開鍵暗号化では、その性質上、ユーザーの公開鍵にアクセスする必要があります。大規模なネットワーク環境では、互いに通信しているエンティティー間で以前の関係が引き続き確立されていると仮定したり、使われているすべての公開鍵を収めた信頼できるリポジトリが存在すると仮定したりすることは不可能です。このような公開鍵の配布に関する問題を解決するために証明書が考案されました。現在では、「証明書発行局 (CA)」が信頼できる第三者として機能します。CA は、ほかのエンティティーの証明書に署名する (発行する) 行為を、信頼して任されているエンティティー (企業など) です。CA は法律上の契約に拘束されるので、有効かつ信頼できる証明書だけを作成するものとして扱われます。 
1454 .na
1455 \f2VeriSign\fP @
1456 .fi
1457 http://www.verisign.com/、
1458 .na
1459 \f2Thawte\fP @
1460 .fi
1461 http://www.thawte.com/、
1462 .na
1463 \f2Entrust\fP @
1464 .fi
1465 http://www.entrust.com/ をはじめ、多くの CA が存在します。Microsoft の認証サーバー、Entrust の CA 製品などを所属組織内で利用すれば、独自の証明書発行局を運営することも可能です。 
1466 .LP
1467 \f3keytool\fP を使うと、証明書の表示、インポート、およびエクスポートを行うことができます。また、自己署名証明書を生成することもできます。 
1468 .LP
1469 現在、\f3keytool\fP は X.509 証明書を対象にしています。  
1470 .TP 2
1471 o
1472 \f3X.509 証明書\fP 
1473 .LP
1474 X.509 規格では、証明書に含める情報が定義されており、この情報を証明書に書き込む方法 (データ形式) についても記述されています。証明書のすべてのデータは、ASN.1/DER と呼ばれる 2 つの関連規格を使って符号化されます。\f2Abstract Syntax Notation 1\fP はデータについて記述しています。\f2Definite Encoding Rules\fP は、データの保存および転送の方法について記述しています。 
1475 .LP
1476 すべての X.509 証明書は、署名のほかに次のデータを含んでいます。 
1477 .RS 3
1478 .TP 3
1479 バージョン 
1480 .LP
1481 証明書に適用される X.509 規格のバージョンを特定します。証明書に指定できる情報は、バージョンによって異なります。これまでに、3 つのバージョンが定義されています。\f3keytool\fP では、v1、v2、および v3 の証明書のインポートとエクスポートが可能です。keytool が生成するのは、v3 の証明書です。 
1482 .LP
1483 「X.509 Version 1」は、1988 年から利用されて広く普及しており、もっとも一般的です。 
1484 .LP
1485 「X.509 Version 2」では、Subject や発行者の名前をあとで再利用できるようにするために、Subject と発行者の一意識別子の概念が導入されました。ほとんどの証明書プロファイル文書では、名前を再使用しないことと、証明書で一意な識別子を使わないことが、強く推奨されています。Version 2 の証明書は、広くは使われていません。 
1486 .LP
1487 「X.509 Version 3」はもっとも新しい (1996 年) 規格で、エクステンションの概念をサポートしています。エクステンションは誰でも定義することができ、証明書に含めることができます。現在使われている一般的なエクステンションとしては、KeyUsage (「署名専用」など、鍵の使用を特定の目的に制限する)、AlternativeNames (DNS 名、電子メールアドレス、IP アドレスなど、ほかのアイデンティティーを公開鍵に関連付けることができる) などがあります。エクステンションには、critical というマークを付けて、そのエクステンションのチェックと使用を義務づけることができます。たとえば、critical とマークされ、KeyCertSign が設定された KeyUsage エクステンションが証明書に含まれている場合、この証明書を SSL 通信中に提示すると、証明書が拒否されます。これは、証明書のエクステンションによって、関連する非公開鍵が証明書の署名専用として指定されており、SSL では使用できないためです。  
1488 .TP 3
1489 シリアル番号 
1490 .LP
1491 証明書を作成したエンティティーは、そのエンティティーが発行するほかの証明書と区別するために、証明書にシリアル番号を割り当てます。この情報は、さまざまな方法で使われます。たとえば、証明書が取り消されると、シリアル番号が証明書の取り消しリスト (CRL) に格納されます。  
1492 .TP 3
1493 署名アルゴリズム識別子 
1494 .LP
1495 証明書に署名を付けるときに CA が使ったアルゴリズムを特定します。  
1496 .TP 3
1497 発行者名 
1498 .LP
1499 証明書に署名を付けたエンティティーの X.500 識別名です。エンティティーは、通常は CA です。この証明書を使うことは、証明書に署名を付けたエンティティーを信頼することを意味します。「ルート」つまり「トップレベル」の CA の証明書など、場合によっては発行者が自身の証明書に署名を付けることがある点に注意してください。  
1500 .TP 3
1501 有効期間 
1502 .LP
1503 各証明書は、限られた期間だけ有効になります。この期間は開始の日時と終了の日時によって指定され、数秒の短い期間から 100 年という長期にわたることもあります。選択される有効期間は、証明書への署名に使われる非公開鍵の強度や証明書に支払う金額など、さまざまな要因で異なります。有効期間は、使用する非公開鍵が損なわれない場合に、エンティティーが公開鍵を信頼できると期待される期間です。  
1504 .TP 3
1505 Subject 名 
1506 .LP
1507 証明書で公開鍵が識別されているエンティティーの名前です。この名前は X.500 標準を使うので、インターネット全体で一意なものと想定されます。これは、エンティティーの X.500 識別名 (DN) です。次に例を示します。 
1508 .nf
1509 \f3
1510 .fl
1511     CN=Java Duke, OU=Java Software Division, O=Oracle Corporation, C=US
1512 .fl
1513 \fP
1514 .fi
1515 .LP
1516 これらはそれぞれ主体の通称、組織単位、組織、国を表します。  
1517 .TP 3
1518 Subject の公開鍵情報 
1519 .LP
1520 名前を付けられたエンティティーの公開鍵とアルゴリズム識別子です。アルゴリズム識別子では、公開鍵に対して使われている公開鍵暗号化システムおよび関連する鍵パラメータが指定されています。  
1521 .RE
1522 .TP 2
1523 o
1524 \f3証明書チェーン\fP 
1525 .LP
1526 \f3keytool\fP では、非公開鍵および関連する証明書「チェーン」を含むキーストアの「鍵」エントリを作成し、管理することができます。このようなエントリでは、非公開鍵に対応する公開鍵は、チェーンの最初の証明書に含まれています。 
1527 .LP
1528 鍵を初めて作成すると (\-genkeypair コマンドを参照)、「自己署名証明書」という 1 つの要素だけを含むチェーンが開始されます。自己署名証明書は、発行者 (署名者) が主体 (証明書で認証されている公開鍵の持ち主) と同じである証明書のことです。 \f2\-genkeypair\fP コマンドを呼び出して新しい公開鍵と非公開鍵のペアを作成すると、公開鍵は常に自己署名証明書でラップされます。 
1529 .LP
1530 このあと、証明書署名要求 (CSR) が生成されて (\-certreq コマンドを参照)、CSR が証明書発行局 (CA) に送信されると、CA からの応答がインポートされ (\-importcert コマンドを参照)、元の自己署名証明書は証明書チェーンによって置き換えられます。チェーンの最後にあるのは、Subject の公開鍵を認証した CA が発行した証明書 (応答) です。チェーン内のその前の証明書は、「CA」の公開鍵を認証する証明書です。 
1531 .LP
1532 CA の公開鍵を認証する証明書は、多くの場合、自己署名証明書 (つまり CA が自身の公開鍵を認証した証明書) であり、これはチェーンの最初の証明書になります。場合によっては、CA が証明書のチェーンを返すこともあります。この場合、チェーン内の最後の証明書 (CA によって署名され、鍵エントリの公開鍵を認証する証明書) に変わりはありませんが、チェーン内のその前の証明書は、CSR の送信先の CA とは「別の」CA によって署名され、CSR の送信先の CA の公開鍵を認証する証明書になります。さらに、チェーン内のその前の証明書は、次の CA の鍵を認証する証明書になります。 以下同様に、自己署名された「ルート」証明書に達するまでチェーンが続きます。したがって、チェーン内の (最初の証明書以後の) 各証明書では、チェーン内の次の証明書の署名者の公開鍵が認証されていることになります。 
1533 .LP
1534 多くの CA は、チェーンをサポートせずに発行済みの証明書だけを返します。特に、中間の CA が存在しないフラットな階層構造の場合は、その傾向が顕著です。このような場合は、キーストアにすでに格納されている信頼できる証明書情報から、証明書チェーンを確立する必要があります。 
1535 .LP
1536 別の応答形式 (PKCS#7 で定義されている形式) でも、発行済み証明書に加え、証明書チェーンのサポートが含まれています。\f3keytool\fP では、どちらの応答形式も扱うことができます。 
1537 .LP
1538 トップレベル (ルート) CA の証明書は、自己署名証明書です。ただし、ルートの公開鍵に対する信頼は、ルートの証明書自体から導き出されるものではなく (たとえば、VeriSign ルート CA のような有名な識別名を使った自己署名証明書を作成すること自体は誰でも可能)、新聞などのほかの情報源に由来するものです。ルート CA の公開鍵は広く知られています。ルート CA の公開鍵を証明書に格納する理由は、証明書という形式にすることで多くのツールから利用できるようになるからにすぎません。 つまり、証明書は、ルート CA の公開鍵を運ぶ「媒体」として利用されるだけです。ルート CA の証明書をキーストアに追加するときは、その前に証明書の内容を表示し ( \f2\-printcert\fP オプションを使用)、表示されたフィンガープリントと、新聞やルート CA の Web ページなどから入手した既知のフィンガープリントとを比較する必要があります。   
1539 .TP 2
1540 o
1541 \f3cacerts 証明書ファイル\fP 
1542 .LP
1543 \f3cacerts\fP という名前の証明書ファイルは、セキュリティープロパティーディレクトリ \f2java.home\fP/lib/security に置かれています。\f2java.home\fP は、実行環境のディレクトリ (SDK の \f2jre\fP ディレクトリまたは Java 2 Runtime Environment の最上位ディレクトリ) です。  
1544 .LP
1545 cacerts ファイルは、CA の証明書を含む、システム全体のキーストアです。システム管理者は、キーストアタイプに jks を指定することで、\f3keytool\fP を使ってこのファイルの構成と管理を行うことができます。cacerts キーストアファイルは、ルート CA 証明書のデフォルトセットを含んだ状態で出荷されています。それらの証明書を一覧表示するには、次のコマンドを使用します。 
1546 .nf
1547 \f3
1548 .fl
1549 keytool \-list \-keystore \fP\f4java.home\fP\f3/lib/security/cacerts
1550 .fl
1551 \fP
1552 .fi
1553 .LP
1554 cacerts キーストアファイルの初期パスワードは、changeit です。システム管理者は、SDK のインストール後、このファイルのパスワードとデフォルトアクセス権を変更する必要があります。 
1555 .LP
1556 \f3重要: \fP\f4cacerts\fP\f3 ファイルを確認してください\fP: \f2cacerts\fP ファイル内の CA は、署名および他のエンティティーへの証明書発行のためのエンティティーとして信頼されるため、 \f2cacerts\fP ファイルの管理は慎重に行う必要があります。 \f2cacerts\fP ファイルには、信頼する CA の証明書だけが含まれていなければなりません。ユーザーは、自身の責任において、 \f2cacerts\fP ファイルにバンドルされている信頼できるルート CA 証明書を検証し、信頼性に関する独自の決定を行います。信頼できない CA 証明書を \f2cacerts\fP ファイルから削除するには、 \f2keytool\fP コマンドの削除オプションを使用します。 \f2cacerts\fP ファイルは JRE のインストールディレクトリにあります。このファイルを編集するアクセス権がない場合は、システム管理者に連絡してください。  
1557 .TP 2
1558 o
1559 \f3インターネット RFC 1421 証明書符号化規格\fP 
1560 .LP
1561 多くの場合、証明書は、バイナリ符号化ではなく、インターネット RFC 1421 規格で定義されている出力可能符号化方式を使って格納されます。「Base 64 符号化」とも呼ばれるこの証明書形式では、電子メールやその他の機構を通じて、ほかのアプリケーションに証明書を容易にエクスポートできます。 
1562 .LP
1563 \f2\-importcert\fP と \f2\-printcert\fP コマンドでは、この形式の証明書とバイナリ符号化の証明書を読み込むことができます。 
1564 .LP
1565 \f2\-exportcert\fP コマンドでは、デフォルトでバイナリ符号化の証明書が出力されます。 ただし、 \f2\-rfc\fP オプションを指定した場合は、出力可能符号化方式の証明書が出力されます。 
1566 .LP
1567 \f2\-list\fP コマンドでは、デフォルトで証明書の SHA1 フィンガープリントが出力されます。 \f2\-v\fP オプションを指定すると、人間が読むことのできる形式で証明書が出力されます。一方、 \f2\-rfc\fP オプションを指定すると、出力可能符号化方式で証明書が出力されます。 
1568 .LP
1569 出力可能符号化方式で符号化された証明書は、次の行で始まります。 
1570 .nf
1571 \f3
1572 .fl
1573 \-\-\-\-\-BEGIN CERTIFICATE\-\-\-\-\-
1574 .fl
1575 \fP
1576 .fi
1577 .LP
1578 最後は、次の行で終わります。 
1579 .nf
1580 \f3
1581 .fl
1582 \-\-\-\-\-END CERTIFICATE\-\-\-\-\-
1583 .fl
1584 \fP
1585 .fi

1586 .RE
1587 
1588 .LP
1589 .SS 
1590 X.500 識別名
1591 .LP
1592 .LP
1593 X.500 識別名は、エンティティーを特定するために使われます。たとえば、X.509 証明書の \f2subject\fP フィールドと \f2issuer\fP (署名者) フィールドで指定される名前は、X.500 識別名です。\f3keytool\fP は、次のサブパートをサポートしています。
1594 .LP
1595 .RS 3
1596 .TP 2
1597 o
1598 \f2commonName\fP \- 人の通称。 「Susan Jones」など 
1599 .TP 2
1600 o
1601 \f2organizationUnit\fP \- 小さな組織 (部、課など) の名称。 「仕入部」など 
1602 .TP 2
1603 o
1604 \f2organizationName\fP \- 大きな組織の名称。 「ABCSystems, Inc.」など 
1605 .TP 2
1606 o
1607 \f2localityName\fP \- 地域 (都市) 名。 「Palo Alto」など 
1608 .TP 2
1609 o
1610 \f2stateName\fP \- 州名または地方名。 「California」など 
1611 .TP 2
1612 o
1613 \f2country\fP \- 2 文字の国番号。 「CH」など 
1614 .RE
1615 
1616 .LP
1617 .LP
1618 \-genkeypair コマンドの \f2\-dname\fP オプションの値として識別名文字列を指定する場合は、  次の形式で指定する必要があります。
1619 .LP
1620 .nf
1621 \f3
1622 .fl
1623 CN=\fP\f4cName\fP\f3, OU=\fP\f4orgUnit\fP\f3, O=\fP\f4org\fP\f3, L=\fP\f4city\fP\f3, S=\fP\f4state\fP\f3, C=\fP\f4countryCode\fP\f3
1624 .fl
1625 \fP
1626 .fi
1627 
1628 .LP
1629 .LP
1630 イタリック体の項目は、実際に指定する値を表します。 短縮形のキーワードの意味は、次のとおりです。
1631 .LP
1632 .nf
1633 \f3
1634 .fl
1635         CN=commonName
1636 .fl
1637         OU=organizationUnit
1638 .fl
1639         O=organizationName
1640 .fl
1641         L=localityName
1642 .fl
1643         S=stateName
1644 .fl
1645         C=country
1646 .fl
1647 \fP





1648 .fi
1649 
1650 .LP
1651 .LP
1652 次に示すのは、識別名文字列の例です。
1653 .LP



1654 .nf
1655 \f3
1656 .fl
1657 CN=Mark Smith, OU=Java, O=Oracle, L=Cupertino, S=California, C=US
1658 .fl
1659 \fP
1660 .fi
1661 
1662 .LP
1663 .LP
1664 次は、この文字列を使ったコマンドの例です。
1665 .LP



1666 .nf
1667 \f3
1668 .fl
1669 keytool \-genkeypair \-dname "CN=Mark Smith, OU=Java, O=Oracle, L=Cupertino,
1670 .fl
1671 S=California, C=US" \-alias mark
1672 .fl
1673 \fP
1674 .fi
1675 
1676 .LP
1677 .LP
1678 キーワードの短縮形では、大文字と小文字は区別されません。たとえば、CN、cn、および Cn は、どれも同じものとして扱われます。
1679 .LP
1680 .LP
1681 一方、キーワードの指定順序には意味があり、各サブコンポーネントは上に示した順序で指定する必要があります。ただし、サブコンポーネントをすべて指定する必要はありません。たとえば、次のように一部のサブコンポーネントだけを指定できます。
1682 .LP


1683 .nf
1684 \f3
1685 .fl
1686 CN=Steve Meier, OU=Java, O=Oracle, C=US
1687 .fl
1688 \fP
1689 .fi
1690 
1691 .LP
1692 .LP
1693 識別名文字列の値にコンマが含まれる場合に、コマンド行で文字列を指定するときには、次のようにコンマを文字 \\ でエスケープする必要があります。
1694 .LP
1695 .nf
1696 \f3
1697 .fl
1698    cn=Peter Schuster, ou=Java\\, Product Development, o=Oracle, c=US
1699 .fl
1700 \fP


























1701 .fi
1702 
1703 .LP
1704 .LP
1705 識別名文字列をコマンド行で指定する必要はありません。識別名を必要とするコマンドを実行するときに、コマンド行で識別名を指定しなかった場合は、各サブコンポーネントの入力を求められます。この場合は、コンマを文字 \\ でエスケープする必要はありません。
1706 .LP
1707 .SS 
1708 信頼できる証明書のインポートに関する注意事項
1709 .LP
1710 .LP
1711 重要: 信頼できる証明書として証明書をインポートする前に、証明書の内容を慎重に調べてください。
1712 .LP
1713 .LP
1714 まず、証明書の内容を表示し (\-printcert コマンドを使用するか、または \-noprompt オプションを指定しないで \-importcert コマンドを使用)、 コマンドを使用し、 表示された証明書のフィンガープリントが、期待されるフィンガープリントと一致するかどうかを確認します。たとえば、あるユーザーから証明書が送られてきて、この証明書を /tmp/cert という名前でファイルに格納しているとします。 この場合は、信頼できる証明書のリストにこの証明書を追加する前に、 \f2\-printcert\fP コマンドを実行してフィンガープリントを表示できます。たとえば、次のようにします。
1715 .LP
1716 .nf
1717 \f3
1718 .fl
1719   keytool \-printcert \-file /tmp/cert
1720 .fl
1721     Owner: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll
1722 .fl
1723     Issuer: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll
1724 .fl
1725     Serial Number: 59092b34
1726 .fl
1727     Valid from: Thu Sep 25 18:01:13 PDT 1997 until: Wed Dec 24 17:01:13 PST 1997
1728 .fl
1729     Certificate Fingerprints:
1730 .fl
1731          MD5:  11:81:AD:92:C8:E5:0E:A2:01:2E:D4:7A:D7:5F:07:6F
1732 .fl
1733          SHA1: 20:B6:17:FA:EF:E5:55:8A:D0:71:1F:E8:D6:9D:C0:37:13:0E:5E:FE
1734 .fl
1735          SHA256: 90:7B:70:0A:EA:DC:16:79:92:99:41:FF:8A:FE:EB:90:
1736 .fl
1737                  17:75:E0:90:B2:24:4D:3A:2A:16:A6:E4:11:0F:67:A4
1738 .fl
1739 \fP
1740 .fi
1741 
1742 .LP
1743 .LP
1744 次に、証明書を送信した人物に連絡し、この人物が提示したフィンガープリントと、上のコマンドで表示されたフィンガープリントとを比較します。フィンガープリントが一致すれば、送信途中でほかの何者か (攻撃者など) による証明書のすり替えが行われていないことを確認できます。送信途中でこの種の攻撃が行われていた場合、チェックを行わずに証明書をインポートすると、攻撃者によって署名されたすべてのもの (攻撃的意図を持つクラスファイルを含んだ JAR ファイルなど) を信頼することになります。
1745 .LP
1746 .LP
1747 注: 証明書をインポートする前に必ず \f2\-printcert\fP コマンドを実行しなければならないわけではありません。キーストア内の信頼できる証明書のリストに証明書を追加する前に \f2\-importcert\fP コマンドを実行すると、証明書の情報が表示され、確認を求めるメッセージが表示されます。インポート操作は、この時点で中止できます。ただし、確認メッセージが表示されるのは、\-importcert コマンドを \-noprompt オプションを指定せずに実行した場合だけです。 コマンドを使用し、 \f2\-noprompt\fP オプションが指定されている場合、ユーザーとの対話は行われません。
1748 .LP
1749 .SS 
1750 パスワードに関する注意事項
1751 .LP
1752 .LP
1753 キーストアに対する操作を行うほとんどのコマンドでは、ストアのパスワードが必要です。また、一部のコマンドでは、非公開/秘密鍵のパスワードが必要になることがあります。
1754 .LP
1755 .LP
1756 パスワードはコマンド行で指定できます (ストアのパスワードには \f2\-storepass\fP オプション、非公開鍵のパスワードには \f2\-keypass\fP オプションを使用)。ただし、テストを目的とする場合、または安全であることがわかっているシステムで実行する場合以外は、コマンド行やスクリプトでパスワードを指定しないでください。
1757 .LP
1758 .LP
1759 必要なパスワードのオプションをコマンド行で指定しなかった場合は、パスワードの入力を求められます。
1760 .LP
1761 .SS 
1762 証明書の準拠に関する注意事項
1763 .LP
1764 .LP
1765 インターネット標準の 
1766 .na
1767 \f2RFC 5280\fP @
1768 .fi
1769 http://tools.ietf.org/rfc/rfc5280.txt では、X.509 証明書が準拠するプロファイルを定義しています。このプロファイルには、証明書のフィールドやエクステンションで有効な値や値の組み合わせが含まれています。\f3keytool\fP では、これらのすべての規則が適用されているわけではないので、標準に準拠しない証明書が生成される可能性があり、そのような証明書は JRE やほかのアプリケーションで拒否されることがあります。ユーザーは、 \f2\-dname\fP や \f2\-ext\fP などで適正なオプションを指定するようにしてください。
1770 .LP
1771 .SH "関連項目"
1772 .LP
1773 .RS 3
1774 .TP 2
1775 o
1776 jar(1) ツールのドキュメント 
1777 .TP 2
1778 o
1779 jarsigner(1) ツールのドキュメント 
1780 .TP 2
1781 o
1782 .na
1783 \f4keytool\fP\f2 の使用例については、\fP @
1784 .fi
1785 http://download.oracle.com/javase/tutorial/security/index.html
1786 .na
1787 \f2「Java Tutorial」\fP\f4の\fP @
1788 .fi
1789 http://download.oracle.com/javase/tutorial/「Security」\f3を参照\fP 
1790 .RE
1791 
1792 .LP
1793 .SH "変更点"
1794 .LP
1795 .LP
1796 Java SE 6 で keytool のコマンドインタフェースが変更されました。
1797 .LP
1798 .LP
1799 \f3keytool\fP は、ユーザーがパスワードを入力する際にその入力内容を表示しなくなりました。ユーザーはパスワード入力時にその入力内容を確認できなくなったため、初期キーストアパスワードを設定したり鍵パスワードを変更したりするなど、パスワードの設定や変更を行うたびにパスワードの再入力を求められます。
1800 .LP
1801 .LP
1802 変更されたコマンドの中には、名前が変更されただけのものもあれば、廃止されてこのドキュメントに記載されなくなったものもあります。以前のすべてのコマンド (名前が変更されたものと廃止されたものの両方) は、このリリースでも引き続きサポートされており、今後のリリースでもサポートされる予定です。keytool のコマンドインタフェースに加えられたすべての変更点の概要を、次に示します。
1803 .LP
1804 .LP
1805 名前が変更されたコマンド:
1806 .LP
1807 .RS 3
1808 .TP 2
1809 o
1810 \f2\-export\fP の名前が \f2\-exportcert に変更\fP 
1811 .TP 2
1812 o
1813 \f2\-genkey\fP の名前が \f2\-genkeypair に変更\fP 
1814 .TP 2
1815 o
1816 \f2\-import\fP の名前が \f2\-importcert に変更\fP 
1817 .RE
1818 
1819 .LP
1820 .LP
1821 廃止されてドキュメントに記載されなくなったコマンド:
1822 .LP
1823 .RS 3
1824 .TP 2
1825 o
1826 .na
1827 \f2\-keyclone\fP @
1828 .fi
1829 http://java.sun.com/j2se/1.5.0/docs/tooldocs/windows/keytool.html#keycloneCmd 
1830 .TP 2
1831 o
1832 .na
1833 \f2\-identitydb\fP @
1834 .fi
1835 http://java.sun.com/j2se/1.5.0/docs/tooldocs/windows/keytool.html#identitydbCmd 
1836 .TP 2
1837 o
1838 .na
1839 \f2\-selfcert\fP @
1840 .fi
1841 http://java.sun.com/j2se/1.5.0/docs/tooldocs/windows/keytool.html#selfcertCmd 





































1842 .RE
1843 
1844 .LP
1845  

   1 '\" t
   2 .\" Copyright (c) 1998, 2013, Oracle and/or its affiliates. All rights reserved.
   3 .\" Title: keytool
   4 .\" Language: English
   5 .\" Date: 2013年8月6日
   6 .\" SectDesc: セキュリティ・ツール
   7 .\" Software: JDK 8
   8 .\" Arch: 汎用
   9 .\"
  10 .\" DO NOT ALTER OR REMOVE COPYRIGHT NOTICES OR THIS FILE HEADER.
  11 .\"
  12 .\" This code is free software; you can redistribute it and/or modify it
  13 .\" under the terms of the GNU General Public License version 2 only, as
  14 .\" published by the Free Software Foundation.
  15 .\"
  16 .\" This code is distributed in the hope that it will be useful, but WITHOUT
  17 .\" ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or
  18 .\" FITNESS FOR A PARTICULAR PURPOSE. See the GNU General Public License
  19 .\" version 2 for more details (a copy is included in the LICENSE file that
  20 .\" accompanied this code).
  21 .\"
  22 .\" You should have received a copy of the GNU General Public License version
  23 .\" 2 along with this work; if not, write to the Free Software Foundation,
  24 .\" Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA.
  25 .\"
  26 .\" Please contact Oracle, 500 Oracle Parkway, Redwood Shores, CA 94065 USA
  27 .\" or visit www.oracle.com if you need additional information or have any
  28 .\" questions.
  29 .\"
  30 .pl 99999
  31 .TH "keytool" "1" "2013年8月6日" "JDK 8" "セキュリティ・ツール"
  32 .\" -----------------------------------------------------------------
  33 .\" * Define some portability stuff
  34 .\" -----------------------------------------------------------------
  35 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  36 .\" http://bugs.debian.org/507673
  37 .\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
  38 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  39 .ie \n(.g .ds Aq \(aq
  40 .el       .ds Aq '
  41 .\" -----------------------------------------------------------------
  42 .\" * set default formatting
  43 .\" -----------------------------------------------------------------
  44 .\" disable hyphenation
  45 .nh
  46 .\" disable justification (adjust text to left margin only)
  47 .ad l
  48 .\" -----------------------------------------------------------------
  49 .\" * MAIN CONTENT STARTS HERE *
  50 .\" -----------------------------------------------------------------
  51 .SH "NAME"
  52 keytool \- 暗号化鍵、X\&.509証明書チェーンおよび信頼できる証明書を含むキーストア(データベース)を管理します。
  53 .SH "概要"
  54 .sp
  55 .if n \{\
  56 .RS 4
  57 .\}
  58 .nf
  59 \fIkeytool\fR [\fIcommands\fR]
  60 .fi
  61 .if n \{\
  62 .RE
  63 .\}
  64 .PP
  65 \fIcommands\fR
  66 .RS 4
  67 コマンドを参照してください。これらのコマンドは、次のようにタスク別に分類されます。
  68 .sp
  69 .RS 4
  70 .ie n \{\
  71 \h'-04'\(bu\h'+03'\c
  72 .\}
  73 .el \{\
  74 .sp -1
  75 .IP \(bu 2.3
  76 .\}
  77 キーストアへのデータの作成または追加
  78 .sp
  79 .RS 4
  80 .ie n \{\
  81 \h'-04'\(bu\h'+03'\c
  82 .\}
  83 .el \{\
  84 .sp -1
  85 .IP \(bu 2.3
  86 .\}
  87 \-gencert
  88 .RE
  89 .sp
  90 .RS 4
  91 .ie n \{\
  92 \h'-04'\(bu\h'+03'\c
  93 .\}
  94 .el \{\
  95 .sp -1
  96 .IP \(bu 2.3
  97 .\}
  98 \-genkeypair
  99 .RE
 100 .sp
 101 .RS 4
 102 .ie n \{\
 103 \h'-04'\(bu\h'+03'\c
 104 .\}
 105 .el \{\
 106 .sp -1
 107 .IP \(bu 2.3
 108 .\}
 109 \-genseckey
 110 .RE
 111 .sp
 112 .RS 4
 113 .ie n \{\
 114 \h'-04'\(bu\h'+03'\c
 115 .\}
 116 .el \{\
 117 .sp -1
 118 .IP \(bu 2.3
 119 .\}
 120 \-importcert
 121 .RE
 122 .sp
 123 .RS 4
 124 .ie n \{\
 125 \h'-04'\(bu\h'+03'\c
 126 .\}
 127 .el \{\
 128 .sp -1
 129 .IP \(bu 2.3
 130 .\}
 131 \-importpassword
 132 .RE
 133 .RE
 134 .sp
 135 .RS 4
 136 .ie n \{\
 137 \h'-04'\(bu\h'+03'\c
 138 .\}
 139 .el \{\
 140 .sp -1
 141 .IP \(bu 2.3
 142 .\}
 143 別のキーストアの内容のインポート
 144 .sp
 145 .RS 4
 146 .ie n \{\
 147 \h'-04'\(bu\h'+03'\c
 148 .\}
 149 .el \{\
 150 .sp -1
 151 .IP \(bu 2.3
 152 .\}
 153 \-importkeystore
 154 .RE
 155 .RE
 156 .sp
 157 .RS 4
 158 .ie n \{\
 159 \h'-04'\(bu\h'+03'\c
 160 .\}
 161 .el \{\
 162 .sp -1
 163 .IP \(bu 2.3
 164 .\}
 165 証明書リクエストの生成
 166 .sp
 167 .RS 4
 168 .ie n \{\
 169 \h'-04'\(bu\h'+03'\c
 170 .\}
 171 .el \{\
 172 .sp -1
 173 .IP \(bu 2.3
 174 .\}
 175 \-certreq
 176 .RE
 177 .RE
 178 .sp
 179 .RS 4
 180 .ie n \{\
 181 \h'-04'\(bu\h'+03'\c
 182 .\}
 183 .el \{\
 184 .sp -1
 185 .IP \(bu 2.3
 186 .\}
 187 データのエクスポート
 188 .sp
 189 .RS 4
 190 .ie n \{\
 191 \h'-04'\(bu\h'+03'\c
 192 .\}
 193 .el \{\
 194 .sp -1
 195 .IP \(bu 2.3
 196 .\}
 197 \-exportcert
 198 .RE
 199 .RE
 200 .sp
 201 .RS 4
 202 .ie n \{\
 203 \h'-04'\(bu\h'+03'\c
 204 .\}
 205 .el \{\
 206 .sp -1
 207 .IP \(bu 2.3
 208 .\}
 209 データの表示
 210 .sp
 211 .RS 4
 212 .ie n \{\
 213 \h'-04'\(bu\h'+03'\c
 214 .\}
 215 .el \{\
 216 .sp -1
 217 .IP \(bu 2.3
 218 .\}
 219 \-list
 220 .RE
 221 .sp
 222 .RS 4
 223 .ie n \{\
 224 \h'-04'\(bu\h'+03'\c
 225 .\}
 226 .el \{\
 227 .sp -1
 228 .IP \(bu 2.3
 229 .\}
 230 \-printcert
 231 .RE
 232 .sp
 233 .RS 4
 234 .ie n \{\
 235 \h'-04'\(bu\h'+03'\c
 236 .\}
 237 .el \{\
 238 .sp -1
 239 .IP \(bu 2.3
 240 .\}
 241 \-printcertreq
 242 .RE
 243 .sp
 244 .RS 4
 245 .ie n \{\
 246 \h'-04'\(bu\h'+03'\c
 247 .\}
 248 .el \{\
 249 .sp -1
 250 .IP \(bu 2.3
 251 .\}
 252 \-printcrl
 253 .RE
 254 .RE
 255 .sp
 256 .RS 4
 257 .ie n \{\
 258 \h'-04'\(bu\h'+03'\c
 259 .\}
 260 .el \{\
 261 .sp -1
 262 .IP \(bu 2.3
 263 .\}
 264 キーストアの管理
 265 .sp
 266 .RS 4
 267 .ie n \{\
 268 \h'-04'\(bu\h'+03'\c
 269 .\}
 270 .el \{\
 271 .sp -1
 272 .IP \(bu 2.3
 273 .\}
 274 \-storepasswd
 275 .RE
 276 .sp
 277 .RS 4
 278 .ie n \{\
 279 \h'-04'\(bu\h'+03'\c
 280 .\}
 281 .el \{\
 282 .sp -1
 283 .IP \(bu 2.3
 284 .\}
 285 \-keypasswd
 286 .RE
 287 .sp
 288 .RS 4
 289 .ie n \{\
 290 \h'-04'\(bu\h'+03'\c
 291 .\}
 292 .el \{\
 293 .sp -1
 294 .IP \(bu 2.3
 295 .\}
 296 \-delete
 297 .RE
 298 .sp
 299 .RS 4
 300 .ie n \{\
 301 \h'-04'\(bu\h'+03'\c
 302 .\}
 303 .el \{\
 304 .sp -1
 305 .IP \(bu 2.3
 306 .\}
 307 \-changealias
 308 .RE
 309 .RE
 310 .sp
 311 .RS 4
 312 .ie n \{\
 313 \h'-04'\(bu\h'+03'\c
 314 .\}
 315 .el \{\
 316 .sp -1
 317 .IP \(bu 2.3
 318 .\}
 319 ヘルプの表示
 320 .sp
 321 .RS 4
 322 .ie n \{\
 323 \h'-04'\(bu\h'+03'\c
 324 .\}
 325 .el \{\
 326 .sp -1
 327 .IP \(bu 2.3
 328 .\}
 329 \-help
 330 .RE
 331 .RE
 332 .RE
 333 .SH "説明"
 334 .PP
 335 \fIkeytool\fRコマンドは、鍵と証明書を管理するためのユーティリティです。これにより、ユーザーは自分の公開鍵と秘密鍵のペアおよび関連する証明書を管理し、デジタル署名を使用した自己認証(他のユーザーまたはサービスに対して自分自身を認証すること)や、データの整合性と証明書に関するサービスを利用することができます。\fIkeytool\fRコマンドでは、通信しているピアの公開鍵をキャッシュすることもできます(証明書のフォームで)。
 336 .PP
 337 証明書とは、あるエンティティ(人物、会社など)からのデジタル署名付きの文書のことです。証明書には、他のあるエンティティの公開鍵(およびその他の情報)が特別な値を持っていることが書かれています。(証明書を参照してください。)データにデジタル署名が付いている場合は、デジタル署名を検証することで、データの整合性およびデータが本物であることをチェックできます。データの整合性とは、データが変更されたり、改変されたりしていないことを意味します。また、データが本物であるとは、そのデータが、データを作成して署名したと称する人物から渡されたデータであることを意味します。
 338 .PP
 339 また、\fIkeytool\fRコマンドを使用すれば、対称暗号化/復号化(DES)で使用される秘密鍵およびパスフレーズを管理することもできます。
 340 .PP
 341 \fIkeytool\fRコマンドは、鍵と証明書をキーストアに格納します。キーストアの別名を参照してください。
 342 .SH "コマンドとオプションに関する注意"
 343 .PP
 344 様々なコマンドとその説明については、コマンドを参照してください。
 345 .sp
 346 .RS 4
 347 .ie n \{\
 348 \h'-04'\(bu\h'+03'\c
 349 .\}
 350 .el \{\
 351 .sp -1
 352 .IP \(bu 2.3
 353 .\}
 354 どのコマンド名およびオプション名にも先頭にマイナス記号(\-)が付きます。
 355 .RE
 356 .sp
 357 .RS 4
 358 .ie n \{\
 359 \h'-04'\(bu\h'+03'\c
 360 .\}
 361 .el \{\
 362 .sp -1
 363 .IP \(bu 2.3
 364 .\}
 365 各コマンドのオプションは任意の順序で指定できます。
 366 .RE
 367 .sp
 368 .RS 4
 369 .ie n \{\
 370 \h'-04'\(bu\h'+03'\c
 371 .\}
 372 .el \{\
 373 .sp -1
 374 .IP \(bu 2.3
 375 .\}
 376 イタリック体になっていないすべての項目、または中カッコか角カッコで囲まれているすべての項目は、そのとおりに指定する必要があります。
 377 .RE
 378 .sp
 379 .RS 4
 380 .ie n \{\
 381 \h'-04'\(bu\h'+03'\c
 382 .\}
 383 .el \{\
 384 .sp -1
 385 .IP \(bu 2.3
 386 .\}
 387 オプションを囲む中カッコは、そのオプションをコマンドラインで指定しなかった場合に、デフォルト値が使用されることを意味します。オプションのデフォルト値を参照してください。中カッコは、\fI\-v\fR、\fI\-rfc\fRおよび\fI\-J\fRオプションを囲むためにも使用されますが、これらのオプションはコマンドラインで指定された場合にのみ意味を持ちます。指定されていない場合以外、デフォルト値はありません。
 388 .RE
 389 .sp
 390 .RS 4
 391 .ie n \{\
 392 \h'-04'\(bu\h'+03'\c
 393 .\}
 394 .el \{\
 395 .sp -1
 396 .IP \(bu 2.3
 397 .\}
 398 オプションを囲む角カッコは、そのオプションをコマンドラインで指定しなかった場合に、値の入力を求められることを意味します。\fI\-keypass\fRオプションの場合、オプションをコマンドラインで指定しなかった場合は、\fIkeytool\fRコマンドがまずキーストアのパスワードを使用して非公開/秘密鍵の復元を試みます。この試みが失敗した場合、\fIkeytool\fRコマンドにより、非公開/秘密鍵のパスワードの入力を求められます。
 399 .RE
 400 .sp
 401 .RS 4
 402 .ie n \{\
 403 \h'-04'\(bu\h'+03'\c
 404 .\}
 405 .el \{\
 406 .sp -1
 407 .IP \(bu 2.3
 408 .\}
 409 イタリック体の項目の実際の値(オプションの値)は、指定する必要があります。たとえば、\fI\-printcert\fRコマンドの形式は次のとおりです。
 410 .sp
 411 \fIkeytool \-printcert {\-file cert_file} {\-v}\fR
 412 .sp
 413 \fI\-printcert\fRコマンドを指定する場合は、\fIcert_file\fRを実際のファイル名で置き換えます。例:
 414 \fIkeytool \-printcert \-file VScert\&.cer\fR
 415 .RE
 416 .sp
 417 .RS 4
 418 .ie n \{\
 419 \h'-04'\(bu\h'+03'\c
 420 .\}
 421 .el \{\
 422 .sp -1
 423 .IP \(bu 2.3
 424 .\}
 425 オプションの値に空白(スペース)が含まれている場合は、値を引用符で囲む必要があります。
 426 .RE
 427 .sp
 428 .RS 4
 429 .ie n \{\
 430 \h'-04'\(bu\h'+03'\c
 431 .\}
 432 .el \{\
 433 .sp -1
 434 .IP \(bu 2.3
 435 .\}
 436 \fI\-help\fRオプションがデフォルトです。\fIkeytool\fRコマンドは、\fIkeytool \-help\fRと同じです。
 437 .RE
 438 .SH "オプションのデフォルト値"
 439 .PP
 440 次の例で、様々なオプション値のデフォルト値を示します。
 441 .sp
 442 .if n \{\
 443 .RS 4
 444 .\}
 445 .nf


 446 \-alias "mykey"

 447  

 448 \-keyalg
 449     "DSA" (when using \-genkeypair)
 450     "DES" (when using \-genseckey)



 451  

 452 \-keysize
 453     2048 (when using \-genkeypair and \-keyalg is "RSA")
 454     1024 (when using \-genkeypair and \-keyalg is "DSA")
 455     256 (when using \-genkeypair and \-keyalg is "EC")
 456     56 (when using \-genseckey and \-keyalg is "DES")
 457     168 (when using \-genseckey and \-keyalg is "DESede")






 458  



 459 \-validity 90





 460  
 461 \-keystore <the file named \&.keystore in the user\*(Aqs home directory>






 462  
 463 \-storetype <the value of the "keystore\&.type" property in the
 464     security properties file, which is returned by the static
 465     getDefaultType method in java\&.security\&.KeyStore>
 466  
 467 \-file
 468     stdin (if reading)
 469     stdout (if writing)
 470  

 471 \-protected false


 472 .fi
 473 .if n \{\














 474 .RE
 475 .\}
 476 .PP
 477 公開/秘密鍵ペアの生成において、署名アルゴリズム(\fI\-sigalg\fRオプション)は、基になる秘密鍵のアルゴリズムから派生します。
 478 .sp
 479 .RS 4
 480 .ie n \{\
 481 \h'-04'\(bu\h'+03'\c
 482 .\}
 483 .el \{\
 484 .sp -1
 485 .IP \(bu 2.3
 486 .\}
 487 基になる秘密鍵がDSAタイプである場合は、\fI\-sigalg\fRオプションのデフォルト値はSHA1withDSAになります。
 488 .RE
 489 .sp
 490 .RS 4
 491 .ie n \{\
 492 \h'-04'\(bu\h'+03'\c
 493 .\}
 494 .el \{\
 495 .sp -1
 496 .IP \(bu 2.3
 497 .\}
 498 基になる秘密鍵がRSAタイプである場合は、\fI\-sigalg\fRオプションのデフォルト値はSHA256withRSAになります。
 499 .RE
 500 .sp
 501 .RS 4
 502 .ie n \{\
 503 \h'-04'\(bu\h'+03'\c
 504 .\}
 505 .el \{\
 506 .sp -1
 507 .IP \(bu 2.3
 508 .\}
 509 基になる秘密鍵がECタイプである場合は、\fI\-sigalg\fRオプションのデフォルト値はSHA256withECDSAになります。
 510 .RE
 511 .PP
 512 \fI\-keyalg\fRおよび\fI\-sigalg\fR引数の完全なリストについては、
 513 http://docs\&.oracle\&.com/javase/8/docs/technotes/guides/security/crypto/CryptoSpec\&.html#AppAの「Java Cryptography Architecture (JCA) Reference Guide」を参照してください。
 514 .SH "一般オプション"
 515 .PP
 516 \fI\-v\fRオプションは、\fI\-help\fRコマンドを除くすべてのコマンドで使用できます。\fI\-v\fRオプションを指定した場合、コマンドは冗長モードで実行され、詳細な情報が出力されます。
 517 .PP
 518 任意のコマンドで指定できる\fI\-Jjavaoption\fR引数もあります。\fI\-Jjavaoption\fRを指定した場合、指定された\fIjavaoption\fR文字列がJavaインタプリタに直接渡されます。このオプションには、空白を含めることはできません。このオプションは、実行環境またはメモリー使用を調整する場合に便利です。指定できるインタプリタ・オプションを一覧表示するには、コマンドラインで\fIjava \-h\fRまたは\fIjava \-X\fRと入力してください。
 519 .PP
 520 次のオプションは、キーストアに対する操作を行うすべてのコマンドで指定できます。
 521 .PP
 522 \-storetype \fIstoretype\fR
 523 .RS 4


 524 この修飾子は、インスタンスを生成するキーストアのタイプを指定します。
 525 .RE
 526 .PP
 527 \-keystore \fIkeystore\fR
 528 .RS 4
 529 キーストアの場所を指定します。
 530 .sp
 531 特定の\fIkeytool\fRコマンドを実行する際に、JKS
 532 \fIstoretype\fRが使用され、かつキーストア・ファイルがまだ存在していなかった場合、新しいキーストア・ファイルが作成されます。たとえば、\fIkeytool \-genkeypair\fRの呼出し時に\fI\-keystore\fRオプションが指定されなかった場合、\fI\&.keystore\fRという名前のデフォルト・キーストア・ファイルがユーザーのホーム・ディレクトリ内にまだ存在していなければ、そこに作成されます。同様に、\fI\-keystore ks_file\fRというオプションが指定されてもそのks_fileが存在しなかった場合、そのファイルが作成されます。JKS
 533 \fIstoretype\fRの詳細は、\fIの\fRKeyStoreの実装キーストアの別名に関する項を参照してください。
 534 .sp
 535 \fI\-keystore\fRオプションからの入力ストリームは、\fIKeyStore\&.load\fRメソッドに渡されます。URLとして\fINONE\fRが指定されている場合は、nullのストリームが\fIKeyStore\&.load\fRメソッドに渡されます。\fINONE\fRは、KeyStoreがファイルベースではない場合に指定してください。たとえば、ハードウェア・トークン・デバイス上に存在している場合などです。
 536 .RE
 537 .PP
 538 \-storepass[:\fIenv\fR| :\fIfile\fR] argument
 539 .RS 4
 540 キーストアの整合性を保護するために使用するパスワードを指定します。
 541 .sp
 542 修飾子\fIenv\fRまたは\fIfile\fRを指定しない場合、パスワードの値は\fIargument\fRになります。この値は、6文字以上にする必要があります。それ以外の場合、パスワードは次のようにして取得されます。
 543 .sp
 544 .RS 4
 545 .ie n \{\
 546 \h'-04'\(bu\h'+03'\c
 547 .\}
 548 .el \{\
 549 .sp -1
 550 .IP \(bu 2.3
 551 .\}
 552 \fIenv\fR:
 553 \fIargument\fRという名前の環境変数からパスワードを取得します。
 554 .RE
 555 .sp
 556 .RS 4
 557 .ie n \{\
 558 \h'-04'\(bu\h'+03'\c
 559 .\}
 560 .el \{\
 561 .sp -1
 562 .IP \(bu 2.3
 563 .\}
 564 \fIfile\fR: argumentという名前のファイルからパスワードを取得します。
 565 .RE
 566 .sp
 567 \fB注意:\fR
 568 \fI\-keypass\fR、\fI\-srckeypass\fR、\-\fIdestkeypass\fR、\fI\-srcstorepass\fR、\fI\-deststorepass\fRなどのパスワードを必要とするその他のオプションはすべて、\fIenv\fRおよび\fIfile\fR修飾子を受け付けます。パスワード・オプションと修飾子は、必ずコロン(:)で区切ってください。
 569 .sp
 570 パスワードは、キーストアの内容にアクセスするすべてのコマンドで使用されます。この種のコマンドを実行するときに、コマンドラインで\fI\-storepass\fRオプションを指定しなかった場合は、パスワードの入力を求められます。
 571 .sp
 572 キーストアから情報を取得する場合、パスワードは省略可能です。パスワードが指定されていない場合は、取得した情報の整合性を検証できず、警告が表示されます。
 573 .RE
 574 .PP
 575 \-providerName \fIprovider_name\fR
 576 .RS 4
 577 セキュリティ・プロパティ・ファイル内に含まれる暗号化サービス・プロバイダ名を特定するために使用されます。
 578 .RE
 579 .PP
 580 \-providerClass \fIprovider_class_name\fR
 581 .RS 4
 582 暗号化サービス・プロバイダがセキュリティ・プロパティ・ファイルに指定されていないときは、そのマスター・クラス・ファイルの名前を指定するときに使用されます。
 583 .RE
 584 .PP
 585 \-providerArg \fIprovider_arg\fR
 586 .RS 4
 587 \fI\-providerClass\fRオプションとともに使用され、\fIprovider_class_name\fRのコンストラクタのオプションの文字列入力引数を表します。
 588 .RE
 589 .PP
 590 \-protected
 591 .RS 4
 592 \fItrue\fRまたは\fIfalse\fRのいずれか。パスワードを専用PINリーダーなどの保護された認証パス経由で指定する必要がある場合は、この値を\fItrue\fRに指定する必要があります。\fI\-importkeystore\fRコマンドには2つのキーストアが関連しているため、ソース・キーストアと宛先キーストアにそれぞれ次の2つのオプション、\fI\-srcprotected\fRと\-\fIdestprotected\fRが用意されています。






 593 .RE
 594 .PP
 595 \-ext \fI{name{:critical} {=value}}\fR
 596 .RS 4
 597 X\&.509証明書エクステンションを示します。このオプションを\fI\-genkeypair\fRおよび\fI\-gencert\fRで使用して、生成される証明書または\fI\-certreq\fRにエクステンションを埋め込み、証明書リクエストでリクエストされるエクステンションを示すことができます。このオプションは複数回指定できます。\fIname\fR引数には、サポートされているエクステンション名(名前付きエクステンションを参照)または任意のOID番号を指定できます。指定されている場合、\fIvalue\fR引数はエクステンションの引数を指します。\fIvalue\fRを省略した場合、エクステンションのデフォルト値またはエクステンションが引数を必要としないことを示します。\fI:critical\fR修飾子が指定された場合、エクステンションの\fIisCritical\fR属性は\fItrue\fRで、指定されない場合は\fIfalse\fRです。\fI:critical\fRのかわりに\fI:c\fRを使用できます。
 598 .RE
 599 .SH "名前付きエクステンション"
 600 .PP
 601 \fIkeytool\fRコマンドは、次の名前のエクステンションをサポートしています。名前の大/小文字は区別されません。
 602 .PP
 603 BCまたはBasicContraints
 604 .RS 4
 605 \fB値\fR: 完全な形式は次のとおりです:
 606 \fIca:{true|false}[,pathlen:<len>]\fRまたは\fI<len>\fR(これは、\fIca:true,pathlen:<len>\fRの短縮形です)。<\fIlen\fR>を省略すると、\fIca:true\fRの意味になります。
 607 .RE
 608 .PP
 609 KUまたはKeyUsage
 610 .RS 4
 611 \fB値\fR:
 612 \fIusage\fR(\fIusage\fR)*、\fIusage\fRには\fIdigitalSignature\fR、\fInonRepudiation\fR
 613 (contentCommitment)、\fIkeyEncipherment\fR、\fIdataEncipherment\fR、\fIkeyAgreement\fR、\fIkeyCertSign\fR、\fIcRLSign\fR、\fIencipherOnly\fR、\fIdecipherOnly\fRのいずれかを指定できます。\fIusage\fR引数は、不明確にならないかぎり、最初の数文字(\fIdigitalSignature\fRの場合は\fIdig\fR)またはキャメルケース・スタイル(\fIdigitalSignature\fRの場合は\fIdS\fR、\fIcRLSign\fRの場合は\fIcRLS\fR)で省略表記できます。\fIusage\fR値は、大文字と小文字が区別されます。
 614 .RE
 615 .PP
 616 EKUまたはExtendedKeyUsage
 617 .RS 4
 618 \fB値\fR:
 619 \fIusage\fR(\fIusage\fR)*、\fIusage\fRには\fIanyExtendedKeyUsage\fR、\fIserverAuth\fR、\fIclientAuth\fR、\fIcodeSigning\fR、\fIemailProtection\fR、\fItimeStamping\fR、\fIOCSPSigning\fRまたは任意の\fIOID文字列\fRのいずれかを指定できます。\fIusage\fR引数は、不明確にならないかぎり、最初の数文字またはキャメルケース・スタイルで省略表記できます。\fIusage\fR値は、大文字と小文字が区別されます。
 620 .RE
 621 .PP
 622 SANまたはSubjectAlternativeName
 623 .RS 4
 624 \fB値\fR:
 625 \fItype\fR:\fIvalue\fR
 626 (t\fIype:value\fR)*、\fItype\fRには\fIEMAIL\fR、\fIURI\fR、\fIDNS\fR、\fIIP\fRまたは\fIOID\fRを指定できます。\fIvalue\fR引数は、\fItype\fRの文字列形式の値です。
 627 .RE
 628 .PP
 629 IANまたはIssuerAlternativeName
 630 .RS 4
 631 \fB値\fR:
 632 \fISubjectAlternativeName\fRと同じです。
 633 .RE
 634 .PP
 635 SIAまたはSubjectInfoAccess
 636 .RS 4
 637 \fB値\fR:
 638 \fImethod\fR:\fIlocation\-type\fR:\fIlocation\-value\fR
 639 (\fImethod:location\-type\fR:\fIlocation\-value\fR)*、\fImethod\fRには\fItimeStamping\fR、\fIcaRepository\fRまたは任意のOIDを指定できます。\fIlocation\-type\fRおよび\fIlocation\-value\fR引数には、\fISubjectAlternativeName\fRエクステンションでサポートされる任意の\fItype\fR:\fIvalue\fRを指定できます。
 640 .RE
 641 .PP
 642 AIAまたはAuthorityInfoAccess
 643 .RS 4
 644 \fB値\fR:
 645 \fISubjectInfoAccess\fRと同じです。\fImethod\fR引数には、\fIocsp\fR、\fIcaIssuers\fRまたは任意のOIDを指定できます。
 646 .RE
 647 .PP
 648 \fIname\fRがOIDの場合、OCTET STRINGタイプと長さのバイトを除外したエクステンションについては、値は\fIextnValue\fRの16進ダンプのDERエンコーディングです。HEX文字列では、標準の16進数(0\-9、a\-f、A\-F)以外の文字は無視されます。したがって、01:02:03:04と01020304の両方とも同一の値として受け付けられます。値がない場合、エクステンションの値フィールドは空になります。
 649 .PP
 650 \fI\-gencert\fRでのみ使用する\fIhonored\fRという特別な名前は、証明書リクエストに含まれるエクステンションを優先する方法を示します。この名前の値は、\fIall\fR(リクエストされるすべてのエクステンションが優先される)、\fIname{:[critical|non\-critical]}\fR(名前付きのエクステンションが優先されるが、別の\fIisCritical\fR属性を使用する)、および\fI\-name\fR(\fIall\fRとともに使用し、例外を示す)のカンマ区切りリストです。デフォルトでは、リクエストされるエクステンションは優先されません。
 651 .PP
 652 \fI\-ext honored\fRオプションに加え、別の名前の、またはOID
 653 \fI\-ext\fRのオプションを指定した場合は、このエクステンションが、すでに優先されているエクステンションに追加されます。ただし、この名前(またはOID)を優先される値でも使用した場合は、その値と重要性がリクエストに含まれるものをオーバーライドします。
 654 .PP
 655 \fIsubjectKeyIdentifier\fRエクステンションは常に作成されます。自己署名でない証明書の場合は、\fIauthorityKeyIdentifier\fRが作成されます。
 656 .PP
 657 \fB注意:\fR
 658 ユーザーは、エクステンション(および証明書の他のフィールド)の組合せによっては、インターネットの標準に準拠しない場合があることに注意してください。証明書の準拠に関する警告を参照してください。























































































































































































































































































































































































































































 659 .SH "コマンド"
 660 .PP
 661 \-gencert
 662 .RS 4
 663 \fI{\-rfc} {\-infile infile} {\-outfile outfile} {\-alias alias} {\-sigalg sigalg} {\-dname dname} {\-startdate startdate {\-ext ext}* {\-validity valDays} [\-keypass keypass] {\-keystore keystore} [\-storepass storepass] {\-storetype storetype} {\-providername provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 664 .sp
 665 証明書リクエスト・ファイル(\fIkeytool\fR
 666 \fI\-certreq\fRコマンドで作成可能)に対するレスポンスとして証明書を生成します。このコマンドは、\fIinfile\fRから(省略した場合は、標準入力から)リクエストを読み込み、別名の秘密鍵を使用してそのリクエストに署名して、X\&.509証明書を\fIoutfile\fRに(省略した場合は、標準出力に)出力します。\fI\-rfc\fRを指定した場合、出力形式はBASE64符号化のPEMになります。それ以外の場合は、バイナリDERが作成されます。
 667 .sp
 668 \fIsigalg\fR値には、証明書に署名を付けるときに使用するアルゴリズムを指定します。\fIstartdate\fR引数は、証明書の有効開始日時です。\fIvalDays\fR引数は、証明書の有効日数を示します。
 669 .sp
 670 \fIdname\fRを指定すると、生成される証明書の主体として使用されます。それ以外の場合は、証明書リクエストからの名前が使用されます。
 671 .sp
 672 \fIext\fR値は、証明書に埋め込まれるX\&.509エクステンションを示します。\fI\-ext\fRの構文については、一般オプションを参照してください。
 673 .sp
 674 \fI\-gencert\fRオプションを使用すると、証明書チェーンを作成できます。次の例では、\fIe1\fRという証明書を作成します。この証明書の証明書チェーンには、3つの証明書が含まれています。
 675 .sp
 676 次のコマンドは、\fIca\fR、\fIca1\fR、\fIca2\fRおよび\fIe1\fRの4つの鍵ペアを作成します。
 677 .sp
 678 .if n \{\
 679 .RS 4
 680 .\}
 681 .nf


 682 keytool \-alias ca \-dname CN=CA \-genkeypair

 683 keytool \-alias ca1 \-dname CN=CA \-genkeypair

 684 keytool \-alias ca2 \-dname CN=CA \-genkeypair

 685 keytool \-alias e1 \-dname CN=E1 \-genkeypair


 686 .fi
 687 .if n \{\












































































































































































 688 .RE
 689 .\}
 690 次の2つのコマンドは、署名付き証明書のチェーンを作成します。\fIca\fRは\fIca1\fRに署名し、\fIca1\fRは\fIca2\fRに署名します。すべて自己発行です。
 691 .sp
 692 .if n \{\
 693 .RS 4
 694 .\}
 695 .nf
 696 keytool \-alias ca1 \-certreq |
 697     keytool \-alias ca \-gencert \-ext san=dns:ca1 |
 698     keytool \-alias ca1 \-importcert
 699 
 700 keytool \-alias ca2 \-certreq |
 701     $KT \-alias ca1 \-gencert \-ext san=dns:ca2 |
 702     $KT \-alias ca2 \-importcert
 703 .fi
 704 .if n \{\
 705 .RE
 706 .\}
 707 次のコマンドは、証明書\fIe1\fRを作成してファイル\fIe1\&.cert\fRに格納します。この証明書は\fIca2\fRによって署名されます。その結果、\fIe1\fRの証明書チェーンには\fIca\fR、\fIca1\fRおよび\fIca2\fRが含まれることになります。
 708 .sp
 709 .if n \{\
 710 .RS 4
 711 .\}
 712 .nf
 713 keytool \-alias e1 \-certreq | keytool \-alias ca2 \-gencert > e1\&.cert
 714 .fi
 715 .if n \{\
 716 .RE
 717 .\}
 718 .RE
 719 .PP
 720 \-genkeypair
 721 .RS 4
 722 \fI{\-alias alias} {\-keyalg keyalg} {\-keysize keysize} {\-sigalg sigalg} [\-dname dname] [\-keypass keypass] {\-startdate value} {\-ext ext}* {\-validity valDays} {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 723 .sp
 724 鍵のペア(公開鍵および関連する秘密鍵)を生成します。公開鍵はX\&.509 v3自己署名証明書でラップされます。証明書は、単一の要素を持つ証明書チェーンとして格納されます。この証明書チェーンと秘密鍵は、aliasで特定される新しいキーストア・エントリに格納されます。
 725 .sp
 726 \fIkeyalg\fR値は鍵ペアの生成に使用するアルゴリズムを、\fIkeysize\fR値は生成する各鍵のサイズを、それぞれ指定します。\fIsigalg\fR値は、自己署名証明書に署名を付けるために使用するアルゴリズムを指定します。このアルゴリズムは\fIkeyalg\fR値と互換性がある必要があります。
 727 .sp
 728 \fIdname\fR値には、\fIalias\fR値に関連付け、自己署名証明書のissuerフィールドとsubjectフィールドとして使用するX\&.500識別名を指定します。コマンドラインで識別名を指定しなかった場合は、識別名の入力を求められます。
 729 .sp
 730 \fIkeypass\fR値には、生成される鍵のペアのうち、秘密鍵を保護するのに使用するパスワードを指定します。パスワードを指定しなかった場合は、パスワードの入力を求められます。このとき、\fI[Return]キー\fRを押すと、キーストアのパスワードと同じパスワードが鍵のパスワードに設定されます。\fIkeypass\fR値は、6文字以上にする必要があります。
 731 .sp
 732 \fIstartdate\fR値には、証明書の発行時刻を指定します。これは、X\&.509証明書の「Validity」フィールドの「Not Before」値とも呼ばれます。
 733 .sp
 734 オプションの値は、次の2つの形式のいずれかで設定できます。
 735 .sp
 736 \fI([+\-]nnn[ymdHMS])+\fR
 737 .sp
 738 \fI[yyyy/mm/dd] [HH:MM:SS]\fR
 739 .sp
 740 最初の形式では、発行時刻は、指定される値の分、現在の時刻から移ります。指定される値は、一連の下位の値を連結したものになります。下位の各値で、プラス記号(「+」)は時間が進むことを、マイナス記号(「\-」)は時間が戻ることを意味しています。移る時間は\fInnn\fRで、単位は年、月、日、時間、分または秒です(それぞれ、1文字の\fIy\fR、\fIm\fR、\fId\fR、\fIH\fR、\fIM\fRまたは\fIS\fR」で示されています)。下位の各値で\fIjava\&.util\&.GregorianCalendar\&.add(int field, int amount)\fRメソッドを使用することで、発行時刻の追加の値が左から右へ計算されます。たとえば、指定すると、発行時刻は次のようになります。
 741 .sp
 742 .if n \{\
 743 .RS 4
 744 .\}
 745 .nf
 746 Calendar c = new GregorianCalendar();
 747 c\&.add(Calendar\&.YEAR, \-1);
 748 c\&.add(Calendar\&.MONTH, 1);
 749 c\&.add(Calendar\&.DATE, \-1);
 750 return c\&.getTime()
 751 .fi
 752 .if n \{\
 753 .RE
 754 .\}
 755 2番目の形式では、ユーザーは、年/月/日と時間:分:秒の2つの部分で厳密な開始時刻を設定します(地元の時間帯を使用)。ユーザーは、1つの部分のみを指定できます。これは、もう1つの部分は現在の日付(または時刻)と同じになるということです。ユーザーは、形式の定義に示されているように、桁数を厳密に指定する必要があります(短い場合は0で埋めます)。日付と時刻の両方が指定された状態で、2つの部分の間に空白文字が1つ(1つのみ)あります。時間は常に24時間形式で指定してください。
 756 .sp
 757 オプションを指定しないと、開始日付は現在の時刻になります。オプションは、最大で1回指定できます。
 758 .sp
 759 \fIvalDays\fRの値には、証明書の有効日数を指定します(\fI\-startdate\fRで指定された日付、または\fI\-startdate\fRが指定されていない場合は現在の日付から始まります)。
 760 .sp
 761 このコマンドは、以前のリリースでは\fI\-genkey\fRという名前でした。このリリースでは、引き続き古い名前がサポートされています。今後は、新しい名前\fI\-genkeypair\fRが優先されます。
 762 .RE
 763 .PP
 764 \-genseckey
 765 .RS 4
 766 \fI\-genseckey {\-alias alias} {\-keyalg keyalg} {\-keysize keysize} [\-keypass keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 767 .sp
 768 秘密鍵を生成し、それを新しい\fIKeyStore\&.SecretKeyEntry\fR(\fIalias\fRで特定される)内に格納します。
 769 .sp
 770 \fIkeyalg\fR値は鍵ペアの生成に使用するアルゴリズムを、\fIkeysize\fR値は生成する各鍵のサイズを、それぞれ指定します。\fIkeypass\fR値は、秘密鍵を保護するパスワードです。パスワードを指定しなかった場合は、パスワードの入力を求められます。このとき、[Return]キーを押すと、\fIkeystore\fRのパスワードと同じパスワードが鍵のパスワードに設定されます。\fIkeypass\fR値は、6文字以上にする必要があります。
 771 .RE
 772 .PP
 773 \-importcert
 774 .RS 4
 775 \fI\-importcert {\-alias alias} {\-file cert_file} [\-keypass keypass] {\-noprompt} {\-trustcacerts} {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 776 .sp
 777 ファイル\fIcert_file\fRから証明書または証明書チェーン(証明書チェーンの場合は、PKCS#7形式の応答または一連のX\&.509証明書で提供されるもの)を読み込み、\fIalias\fRによって特定される\fIkeystore\fRエントリに格納します。ファイルが指定されていない場合は、\fIstdin\fRから証明書または証明書チェーンを読み込みます。
 778 .sp
 779 \fIkeytool\fRコマンドでは、X\&.509 v1、v2、v3の証明書、およびPKCS#7形式の証明書から構成されているPKCS#7形式の証明書チェーンをインポートできます。インポートするデータは、バイナリ符号化方式、または出力可能符号化方式(Base64符号化とも呼ばれる)のどちらかで提供する必要があります。出力可能符号化方式は、インターネットRFC 1421証明書符号化規格で定義されています。この符号化方式の場合、証明書は\fI\-\fR\fI\-\-\-\-BEGIN\fRで始まる文字列で開始され、\fI\-\-\-\-\-END\fRで始まる文字列で終了する必要があります。
 780 .sp
 781 証明書は、信頼できる証明書のリストに追加するため、および認証局(CA)に証明書署名リクエストを送信した結果としてCAから受信した証明書応答をインポートするため(コマンドの\fI\-certreq\fRオプションを参照)という2つの理由でインポートします。
 782 .sp
 783 どちらのタイプのインポートを行うかは、\fI\-alias\fRオプションの値によって指定します。別名がキー・エントリをポイントしない場合、\fIkeytool\fRコマンドはユーザーが信頼できる証明書エントリを追加しようとしているものとみなします。この場合、別名がキーストア内に存在していないことが必要です。別名がすでに存在している場合、その別名の信頼できる証明書がすでに存在することになるので、\fIkeytool\fRコマンドはエラーを出力し、証明書のインポートを行いません。別名がキー・エントリをポイントする場合、\fIkeytool\fRコマンドはユーザーが証明書応答をインポートしようとしているものとみなします。
 784 .RE
 785 .PP
 786 \-importpassword
 787 .RS 4
 788 \fI{\-alias alias} [\-keypass keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 789 .sp
 790 パスフレーズをインポートし、\fIalias\fRで識別される新規\fIKeyStore\&.SecretKeyEntry\fRに格納します。パスフレーズは、標準入力ストリームを介して提供できます。または、ユーザーにそのプロンプトが表示されます。\fIkeypass\fRは、インポートされるパスフレーズの保護に使用されるパスワードです。パスワードを指定しなかった場合は、パスワードの入力を求められます。このとき、[Return]キーを押すと、\fIkeystore\fRのパスワードと同じパスワードが鍵のパスワードに設定されます。\fIkeypass\fRは、6文字以上にする必要があります。
 791 .RE
 792 .PP
 793 \-importkeystore
 794 .RS 4
 795 \fI{\-srcstoretype srcstoretype} {\-deststoretype deststoretype} [\-srcstorepass srcstorepass] [\-deststorepass deststorepass] {\-srcprotected} {\-destprotected} {\-srcalias srcalias {\-destalias destalias} [\-srckeypass srckeypass] } [\-destkeypass destkeypass] {\-noprompt} {\-srcProviderName src_provider_name} {\-destProviderName dest_provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 796 .sp
 797 ソース・キーストアからターゲット・キーストアへ、単一のエントリまたはすべてのエントリをインポートします。
 798 .sp
 799 \fI\-srcalias\fRオプションが指定された場合、このコマンドは、その別名で特定される単一のエントリをターゲット・キーストアにインポートします。\fIdestalias\fR経由でターゲット別名が指定されなかった場合、\fIsrcalias\fRがターゲット別名として使用されます。ソースのエントリがパスワードで保護されていた場合、\fIsrckeypass\fRを使用してそのエントリが回復されます。\fIsrckeypass\fRが指定されなかった場合、\fIkeytool\fRコマンドは\fIsrcstorepass\fRを使用してそのエントリを回復しようとします。\fIsrcstorepass\fRが指定されなかったか正しくなかった場合、ユーザーはパスワードの入力を求められます。ターゲットのエントリは\fIdestkeypass\fRによって保護されます。\fIdestkeypass\fRが指定されなかった場合、ターゲット・エントリはソース・エントリのパスワードによって保護されます。たとえば、ほとんどのサード・パーティ・ツールでは、PKCS #12キーストアで\fIstorepass\fRと\fIkeypass\fRが同じである必要があります。これらのツールのPKCS #12キーストアを作成する場合は、常に\fI\-destkeypass\fRと\fI\-deststorepass\fRが同じになるように指定します。
 800 .sp
 801 \fI\-srcalias\fRオプションが指定されなかった場合、ソース・キーストア内のすべてのエントリがターゲット・キーストア内にインポートされます。各ターゲット・エントリは対応するソース・エントリの別名の下に格納されます。ソースのエントリがパスワードで保護されていた場合、\fIsrcstorepass\fRを使用してそのエントリが回復されます。\fIsrcstorepass\fRが指定されなかったか正しくなかった場合、ユーザーはパスワードの入力を求められます。ソース・キーストア内のあるエントリ・タイプがターゲット・キーストアでサポートされていない場合や、あるエントリをターゲット・キーストアに格納する際にエラーが発生した場合、ユーザーはそのエントリをスキップして処理を続行するか、あるいは処理を中断するかの選択を求められます。ターゲット・エントリはソース・エントリのパスワードによって保護されます。
 802 .sp
 803 ターゲット別名がターゲット・キーストア内にすでに存在していた場合、ユーザーは、そのエントリを上書きするか、あるいは異なる別名の下で新しいエントリを作成するかの選択を求められます。
 804 .sp
 805 
 806 \fI\-noprompt\fRオプションを指定した場合、ユーザーは新しいターゲット別名の入力を求められません。既存のエントリがそのターゲット別名で上書きされます。インポートできないエントリはスキップされ、警告が出力されます。
 807 .RE
 808 .PP
 809 \-printcertreq
 810 .RS 4
 811 \fI{\-file file}\fR
 812 .sp
 813 PKCS#10形式の証明書リクエストの内容を出力します。このリクエストは、\fIkeytool\fR
 814 \fI\-certreq\fRコマンドで生成できます。このコマンドは、ファイルからリクエストを読み取ります。ファイルが存在しない場合、リクエストは標準入力から読み取られます。
 815 .RE
 816 .PP
 817 \-certreq
 818 .RS 4
 819 \fI{\-alias alias} {\-dname dname} {\-sigalg sigalg} {\-file certreq_file} [\-keypass keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 820 .sp
 821 PKCS#10形式を使用して証明書署名リクエスト(CSR)を生成します。
 822 .sp
 823 CSRは、証明書発行局(CA)に送信することを目的としたものです。CAは、証明書要求者を(通常はオフラインで)認証し、証明書または証明書チェーンを送り返します。この証明書または証明書チェーンは、キーストア内の既存の証明書チェーン(最初は1つの自己署名証明書から構成される)に置き換えて使用します。
 824 .sp
 825 aliasに関連付けられた秘密鍵は、PKCS#10証明書リクエストを作成するのに使用されます。秘密鍵にアクセスするには、正しいパスワードを指定する必要があります。コマンドラインで\fIkeypass\fRを指定しておらず、秘密鍵のパスワードがキーストアのパスワードと異なる場合は、秘密鍵のパスワードの入力を求められます。\fIdname\fRが指定されている場合は、それがCSRで主体として使用されます。それ以外の場合は、別名に関連付けられたX\&.500識別名が使用されます。
 826 .sp
 827 \fIsigalg\fR値には、CSRに署名を付けるときに使用するアルゴリズムを指定します。
 828 .sp
 829 CSRは、ファイルcertreq_fileに格納されます。ファイルが指定されていない場合は、\fIstdout\fRにCSRが出力されます。
 830 .sp
 831 CAからのレスポンスをインポートするには、\fIimportcert\fRコマンドを使用します。
 832 .RE
 833 .PP
 834 \-exportcert
 835 .RS 4
 836 \fI{\-alias alias} {\-file cert_file} {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-rfc} {\-v} {\-protected} {\-Jjavaoption}\fR
 837 .sp
 838 \fIalias\fRに関連付けられた証明書をキーストアから読み込み、ファイルcert_fileに格納します。ファイルが指定されていない場合は、\fIstdout\fRに証明書が出力されます。
 839 .sp
 840 デフォルトでは、証明書はバイナリ符号化で出力されます。\fI\-rfc\fRオプションが指定されている場合、出力可能符号化方式の出力はインターネットRFC 1421証明書符号化規格で定義されます。
 841 .sp
 842 \fIalias\fRが、信頼できる証明書を参照している場合は、該当する証明書が出力されます。それ以外の場合、\fIalias\fRは、関連付けられた証明書チェーンを持つ鍵エントリを参照します。この場合は、チェーン内の最初の証明書が返されます。この証明書は、\fIalias\fRによって表されるエンティティの公開鍵を認証する証明書です。
 843 .sp
 844 このコマンドは、以前のリリースでは\fI\-export\fRという名前でした。このリリースでは、引き続き古い名前がサポートされています。今後は、新しい名前\fI\-exportcert\fRが優先されます。
 845 .RE
 846 .PP
 847 \-list
 848 .RS 4
 849 \fI{\-alias alias} {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v | \-rfc} {\-protected} {\-Jjavaoption}\fR
 850 .sp
 851 \fIalias\fRで特定されるキーストア・エントリの内容を\fIstdout\fRに出力します。\fIalias\fRが指定されていない場合は、キーストア全体の内容が表示されます。
 852 .sp
 853 このコマンドは、デフォルトでは証明書のSHA1フィンガープリントを表示します。
 854 \fI\-v\fRオプションが指定されている場合は、所有者、発行者、シリアル番号、拡張機能などの付加的な情報とともに、人間が読むことのできる形式で証明書が表示されます。\fI\-rfc\fRオプションが指定されている場合は、出力可能符号化方式で証明書の内容が出力されます。出力可能符号化方式は、インターネットRFC 1421証明書符号化規格で定義されています。
 855 .sp
 856 \fI\-v\fRオプションと\fI\-rfc\fRオプションを同時に指定することはできません。
 857 .RE
 858 .PP
 859 \-printcert
 860 .RS 4
 861 \fI{\-file cert_file | \-sslserver host[:port]} {\-jarfile JAR_file {\-rfc} {\-v} {\-Jjavaoption}\fR
 862 .sp
 863 ファイルcert_file、host:portにあるSSLサーバー、または署名付きJARファイル\fIJAR_file\fR(\fI\-jarfile\fRオプションを指定)から証明書を読み込み、人間が読むことのできる形式で証明書の内容を表示します。ポートが指定されていない場合は、標準のHTTPSポート443が想定されます。\fI\-sslserver\fRおよび\-fileオプションを同時に指定することはできません。これに反する場合、エラーが報告されます。オプションが指定されていない場合は、\fIstdin\fRから証明書を読み込みます。
 864 .sp
 865 \fI\-rfc\fRが指定されている場合、\fIkeytool\fRコマンドは、インターネットRFC 1421証明書符号化標準で定義されているように、PEMモードで証明書を出力します。インターネットRFC 1421証明書符号化規格を参照してください。
 866 .sp
 867 ファイルまたは\fIstdin\fRから証明書を読み込む場合、その証明書は、インターネットRFC 1421証明書符号化標準で定義されているように、バイナリ符号化方式または出力可能符号化方式で表示できます。
 868 .sp
 869 SSLサーバーがファイアウォールの背後にある場合は、\fI\-J\-Dhttps\&.proxyHost=proxyhost\fRおよび\fI\-J\-Dhttps\&.proxyPort=proxyport\fRオプションをコマンドラインで指定して、プロキシ・トンネリングを使用できます。http://docs\&.oracle\&.com/javase/8/docs/technotes/guides/security/jsse/JSSERefGuide\&.htmlの
 870 「Java Secure Socket Extension (JSSE) Reference Guide」を参照してください
 871 .sp
 872 \fB注意:\fR
 873 このオプションはキーストアとは関係なく使用できます。
 874 .RE
 875 .PP
 876 \-printcrl
 877 .RS 4
 878 \fI\-file crl_ {\-v}\fR
 879 .sp
 880 ファイル\fIcrl_\fRから証明書失効リスト(CRL)を読み込みます。CRLは、発行したCAによって失効されたデジタル証明書のリストです。CAは、\fIcrl_\fRを生成します。
 881 .sp
 882 \fB注意:\fR
 883 このオプションはキーストアとは関係なく使用できます。
 884 .RE
 885 .PP
 886 \-storepasswd
 887 .RS 4
 888 \fI[\-new new_storepass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-Jjavaoption}\fR
 889 .sp
 890 キーストアの内容の整合性を保護するために使用するパスワードを変更します。\fInew_storepass\fRには、新しいパスワードを指定します。new_storepassは、6文字以上である必要があります。
 891 .RE
 892 .PP
 893 \-keypasswd
 894 .RS 4
 895 \fI{\-alias alias} [\-keypass old_keypass] [\-new new_keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-Jjavaoption}\fR
 896 .sp
 897 \fIalias\fRによって特定される非公開/秘密鍵を保護するためのパスワードを、\fIold_keypass\fRから\fInew_keypass\fRに変更します。new_keypassは、6文字以上である必要があります。
 898 .sp
 899 コマンドラインで\fI\-keypass\fRオプションを指定しておらず、鍵のパスワードがキーストアのパスワードと異なる場合は、鍵のパスワードの入力を求められます。
 900 .sp
 901 コマンドラインで\fI\-new\fRオプションを指定しなかった場合は、新しいパスワードの入力を求められます。
 902 .RE
 903 .PP
 904 \-delete
 905 .RS 4
 906 \fI[\-alias alias] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 907 .sp
 908 \fIalias\fRによって特定されるエントリをキーストアから削除します。コマンドラインで別名を指定しなかった場合は、別名の入力を求められます。
 909 .RE
 910 .PP
 911 \-changealias
 912 .RS 4
 913 \fI{\-alias alias} [\-destalias destalias] [\-keypass keypass] {\-storetype storetype} {\-keystore keystore} [\-storepass storepass] {\-providerName provider_name} {\-providerClass provider_class_name {\-providerArg provider_arg}} {\-v} {\-protected} {\-Jjavaoption}\fR
 914 .sp
 915 指定された\fIalias\fRから新しい別名\fIdestalias\fRへ、既存のキーストア・エントリを移動します。ターゲット別名を指定しなかった場合、ターゲット別名の入力を求められます。元のエントリがエントリ・パスワードで保護されていた場合、\fI\-keypass\fRオプションでそのパスワードを指定できます。鍵パスワードが指定されなかった場合、\fIstorepass\fR(指定された場合)がまず試みられます。その試みが失敗すると、ユーザーはパスワードの入力を求められます。
 916 .RE
 917 .PP






 918 \-help
 919 .RS 4
 920 基本的なコマンドとそのオプションの一覧を表示します。
 921 .sp
 922 特定のコマンドの詳細を参照するには、次のように入力してください:
 923 \fIkeytool \-command_name \-help\fR。\fIcommand_name\fRはコマンドの名前です。






 924 .RE


 925 .SH "例"
 926 .PP
 927 この例では、公開/秘密鍵のペアおよび信頼できるエンティティからの証明書を管理するためのキーストアを作成する手順を示します。
 928 .SS "鍵のペアの生成"
 929 .PP
 930 まず、キーストアを作成して鍵のペアを生成します。単一行に入力する、次のようなコマンドを使用できます。
 931 .sp
 932 .if n \{\
 933 .RS 4
 934 .\}
 935 .nf
 936 keytool \-genkeypair \-dname "cn=Mark Jones, ou=Java, o=Oracle, c=US"
 937     \-alias business \-keypass <new password for private key>
 938     \-keystore /working/mykeystore
 939     \-storepass <new password for keystore> \-validity 180
 940 .fi
 941 .if n \{\
 942 .RE
 943 .\}
 944 .PP
 945 コマンドは、workingディレクトリに\fImykeystore\fRという名前のキーストアを作成し(キーストアはまだ存在していないと仮定)、作成したキーストアに、\fI<new password for keystore>\fRで指定したパスワードを割り当てます。生成する公開鍵と秘密鍵のペアに対応するエンティティの「識別名」は、通称がMark Jones、組織単位がJava、組織がOracle、2文字の国番号がUSです。公開鍵と秘密鍵のサイズはどちらも1024ビットで、鍵の作成にはデフォルトのDSA鍵生成アルゴリズムを使用します。
 946 .PP
 947 このコマンドは、デフォルトのSHA1withDSA署名アルゴリズムを使用して、公開鍵と識別名情報を含む自己署名証明書を作成します。証明書の有効期間は180日です。証明書は、別名\fIbusiness\fRで特定されるキーストア・エントリ内の秘密鍵に関連付けられます。秘密鍵には、\fI<new password for private key>\fRで指定したパスワードが割り当てられます。
 948 .PP
 949 オプションのデフォルト値を使用する場合、コマンドは大幅に短くなります。この場合、オプションは不要です。デフォルト値を持つオプションでは、オプションを指定しなければデフォルト値が使用されます。必須値の入力を求められます。使用可能な値は次のとおりです。
 950 .sp
 951 .if n \{\
 952 .RS 4
 953 .\}
 954 .nf
 955 keytool \-genkeypair
 956 .fi
 957 .if n \{\
 958 .RE
 959 .\}
 960 .PP
 961 この場合は、\fImykey\fRという別名でキーストア・エントリが作成され、新しく生成された鍵のペア、および90日間有効な証明書がこのエントリに格納されます。このエントリは、ホーム・ディレクトリ内の\fI\&.keystore\fRという名前のキーストアに置かれます。キーストアは、まだ存在していない場合に作成されます。識別名情報、キーストアのパスワードおよび秘密鍵のパスワードの入力を求められます。
 962 .PP
 963 以降では、オプションを指定しないで\fI\-genkeypair\fRコマンドを実行したものとして例を示します。情報の入力を求められた場合は、最初に示した\fI\-genkeypair\fRコマンドの値を入力したものとします。たとえば識別名には\fIcn=Mark Jones\fR、\fIou=Java\fR、\fIo=Oracle\fR、\fIc=US\fRと指定します。
 964 .SS "CAからの署名付き証明書のリクエスト"
 965 .PP
 966 自己署名証明書を作成する鍵のペアの生成。証明書に証明書発行局(CA)の署名が付いていれば、他のユーザーから証明書が信頼される可能性も高くなります。CAの署名を取得するには、まず、証明書署名リクエスト(CSR)を生成します。たとえば、次のようにします。
 967 .sp
 968 .if n \{\
 969 .RS 4
 970 .\}
 971 .nf
 972 keytool \-certreq \-file MarkJ\&.csr
 973 .fi
 974 .if n \{\
 975 .RE
 976 .\}
 977 .PP
 978 CSR(デフォルト別名\fImykey\fRによって特定されるエンティティのCSR)が作成され、MarkJ\&.csrという名前のファイルに置かれます。このファイルをCA (VeriSignなど)に提出します。CAは要求者を(通常はオフラインで)認証し、要求者の公開鍵を認証した署名付きの証明書を送り返します。場合によっては、CAが証明書のチェーンを返すこともあります。証明書のチェーンでは、各証明書がチェーン内のその前の署名者の公開鍵を認証します。
 979 .SS "CAからの証明書のインポート"
 980 .PP
 981 作成した自己署名証明書は、証明書チェーンで置き換える必要があります。証明書チェーンでは、各証明書が、「ルート」CAを起点とするチェーン内の次の証明書の署名者の公開鍵を認証します。
 982 .PP
 983 CAからの証明書応答をインポートするには、キーストアか、\fIcacerts\fRキーストア・ファイル内に1つ以上の信頼できる証明書がある必要があります。\fIの\fR\-importcertコマンドを参照してください。
 984 .sp
 985 .RS 4
 986 .ie n \{\
 987 \h'-04'\(bu\h'+03'\c
 988 .\}
 989 .el \{\
 990 .sp -1
 991 .IP \(bu 2.3
 992 .\}
 993 証明応答が証明書チェーンの場合は、チェーンの最上位証明書が必要です。CAの公開鍵を認証するルートCA証明書。
 994 .RE
 995 .sp
 996 .RS 4
 997 .ie n \{\
 998 \h'-04'\(bu\h'+03'\c
 999 .\}
1000 .el \{\
1001 .sp -1
1002 .IP \(bu 2.3
1003 .\}
1004 証明書応答が単一の証明書の場合は、発行CA(署名した)の証明書が必要です。その証明書が自己署名でない場合は、その署名者の証明書が必要であり、このようにして自己署名ルート証明書が必要になります。
1005 .RE
1006 .PP
1007 \fIcacerts\fRキーストア・ファイルは、いくつかのVeriSignルートCA証明書を含んだ状態で出荷されているので、VeriSignの証明書を、信頼できる証明書としてキーストア内にインポートする必要がない場合があります。ただし、他のCAに対して署名付き証明書をリクエストしていて、このCAの公開鍵を認証する証明書が、\fIcacerts\fRにまだ追加されていない場合は、該当するCAからの証明書を、「信頼できる証明書」としてインポートする必要があります。
1008 .PP
1009 通常、CAからの証明書は、自己署名証明書、または他のCAによって署名された証明書です(後者の場合は、該当する他のCAの公開鍵を認証する証明書が必要)。ABC, Inc\&.,がCAで、ABCから自己署名証明書であるA\fIBCCA\&.cer\fRという名前のファイルを取得したとします(この証明書はCAの公開鍵を認証します)。信頼できる証明書として証明書をインポートするときは、証明書が有効であることを確認する必要があります。まず、\fIkeytool \-printcert\fRコマンドまたは\fI\-noprompt\fRオプションなしの\fIkeytool \-importcert\fRコマンドでそれを表示し、表示された証明書のフィンガープリントが期待されるものと一致するかどうかを確認します。証明書を送信した人物に連絡し、この人物が提示した(または安全な公開鍵のリポジトリによって提示される)フィンガープリントと、上のコマンドで表示されたフィンガープリントとを比較します。フィンガープリントが一致すれば、送信途中で他の何者か(攻撃者など)による証明書のすり替えが行われていないことを確認できます。送信途中でこの種の攻撃が行われていた場合、チェックを行わずに証明書をインポートすると、攻撃者によって署名されたすべてのものを信頼することになります。
1010 .PP
1011 証明書が有効であると信頼する場合は、次のコマンドでキーストアに追加できます。
1012 .sp
1013 .if n \{\
1014 .RS 4
1015 .\}
1016 .nf
1017 keytool \-importcert \-alias abc \-file ABCCA\&.cer
1018 .fi
1019 .if n \{\
1020 .RE
1021 .\}
1022 .PP
1023 ABCCA\&.cerファイルのデータを含む信頼できる証明書のエントリがキーストア内に作成され、該当するエントリに\fIabc\fRという別名が割り当てられます。
1024 .SS "CAからの証明書応答のインポート"
1025 .PP
1026 証明書署名リクエストの提出先のCAの公開鍵を認証する証明書をインポートした後は(または同種の証明書がすでにcacertsファイル内に存在している場合は)、証明応答をインポートし、自己署名証明書を証明書チェーンで置き換えることができます。このチェーンは、CAの応答がチェーンの場合に、リクエストに対するレスポンスとしてCAから送り返された証明書チェーンです。また、CAの応答が単一の証明書の場合は、この証明応答と、インポート先のキーストア内または\fIcacerts\fRキーストアファイル内にすでに存在する信頼できる証明書とを使用して構築した証明書チェーンです。
1027 .PP
1028 たとえば、証明書署名リクエストをVeriSignに送信する場合、送り返された証明書の名前がVSMarkJ\&.cerだとすると、次のようにして応答をインポートできます。
1029 .sp
1030 .if n \{\
1031 .RS 4
1032 .\}
1033 .nf
1034 keytool \-importcert \-trustcacerts \-file VSMarkJ\&.cer
1035 .fi
1036 .if n \{\
1037 .RE
1038 .\}
1039 .SS "公開鍵を認証する証明書のエクスポート"
1040 .PP
1041 \fIjarsigner\fRコマンドを使用してJava Archive (JAR)ファイルに署名する場合、このファイルを使用するクライアントは署名を認証する必要があります。クライアントが署名を認証する方法の1つに、まず自分の公開鍵の証明書を信頼できるエントリとしてクライアントのキーストアにインポートする方法があります。
1042 .PP
1043 そのためには、証明書をエクスポートして、クライアントに提供します。例として、次のコマンドを使用して、MJ\&.cerという名前のファイルに証明書をコピーできます。このコマンドでは、エントリに別名\fImykey\fRがあると仮定しています。
1044 .sp
1045 .if n \{\
1046 .RS 4
1047 .\}
1048 .nf
1049 keytool \-exportcert \-alias mykey \-file MJ\&.cer
1050 .fi
1051 .if n \{\
1052 .RE
1053 .\}
1054 .PP
1055 証明書と署名付きJARファイルを入手したクライアントは、\fIjarsigner\fRコマンドを使用して署名を認証できます。
1056 .SS "キーストアのインポート"
1057 .PP
1058 コマンド\fIimportkeystore\fRを使用すれば、あるキーストアの全体を別のキーストア内にインポートできます。これは、鍵や証明書といったソースキーストア内のすべてのエントリが、単一のコマンドを使用してターゲットキーストア内にインポートされることを意味します。このコマンドを使用すれば、異なるタイプのキーストア内に含まれるエントリをインポートすることができます。インポート時には、ターゲット・キーストア内の新しいエントリはすべて、元と同じ別名および(秘密鍵や秘密鍵の場合は)保護用パスワードを持ちます。ソースキーストア内の非公開/秘密鍵をリカバリできない場合、\fIkeytool\fRコマンドはユーザーにパスワードの入力を求めます。このコマンドは、別名の重複を検出すると、ユーザーに新しい別名の入力を求めます。ユーザーは、新しい別名を指定することも、単純に既存の別名の上書きを\fIkeytool\fRコマンドに許可することもできます。
1059 .PP
1060 たとえば、通常のJKSタイプのキーストアkey\&.jks内のエントリをPKCS#11タイプのハードウェア・ベースのキーストア内にインポートするには、次のコマンドを使用します。
1061 .sp
1062 .if n \{\
1063 .RS 4
1064 .\}
1065 .nf
1066 keytool \-importkeystore
1067     \-srckeystore key\&.jks \-destkeystore NONE
























1068     \-srcstoretype JKS \-deststoretype PKCS11
1069     \-srcstorepass <src keystore password>
1070     \-deststorepass <destination keystore pwd>


1071 .fi
1072 .if n \{\
1073 .RE
1074 .\}
1075 .PP
1076 また、\fIimportkeystore\fRコマンドを使用すれば、あるソース・キーストア内の単一のエントリをターゲット・キーストアにインポートすることもできます。この場合は、前例のオプションに加えて、インポートする別名を指定する必要があります。\fI\-srcalias\fRオプションを指定する場合には、ターゲット別名もコマンドラインから指定できるほか、秘密/秘密鍵の保護用パスワードやターゲット保護用パスワードも指定できます。その方法を示すコマンドを次に示します。
1077 .sp
1078 .if n \{\
1079 .RS 4
1080 .\}
1081 .nf
1082 keytool \-importkeystore
1083     \-srckeystore key\&.jks \-destkeystore NONE
1084     \-srcstoretype JKS \-deststoretype PKCS11
1085     \-srcstorepass <src keystore password>
1086     \-deststorepass <destination keystore pwd>

1087     \-srcalias myprivatekey \-destalias myoldprivatekey
1088     \-srckeypass <source entry password>
1089     \-destkeypass <destination entry password>

1090     \-noprompt


1091 .fi
1092 .if n \{\
1093 .RE
1094 .\}
1095 .SS "SSLサーバーの証明書の生成"
1096 .PP
1097 次に、3つのエンティティ、つまりルートCA(\fIroot\fR)、中間CA(\fIca\fR)およびSSLサーバー(\fIserver\fR)用の鍵ペアと証明書を生成する\fIkeytool\fRコマンドを示します。すべての証明書を同じキーストアに格納するようにしてください。これらの例では、RSAが推奨される鍵のアルゴリズムです。
1098 .sp
1099 .if n \{\
1100 .RS 4
1101 .\}
1102 .nf
1103 keytool \-genkeypair \-keystore root\&.jks \-alias root \-ext bc:c
1104 keytool \-genkeypair \-keystore ca\&.jks \-alias ca \-ext bc:c
1105 keytool \-genkeypair \-keystore server\&.jks \-alias server
1106  
1107 keytool \-keystore root\&.jks \-alias root \-exportcert \-rfc > root\&.pem
1108  
1109 keytool \-storepass <storepass> \-keystore ca\&.jks \-certreq \-alias ca |
1110     keytool \-storepass <storepass> \-keystore root\&.jks
1111     \-gencert \-alias root \-ext BC=0 \-rfc > ca\&.pem
1112 keytool \-keystore ca\&.jks \-importcert \-alias ca \-file ca\&.pem
1113  
1114 keytool \-storepass <storepass> \-keystore server\&.jks \-certreq \-alias server |
1115     keytool \-storepass <storepass> \-keystore ca\&.jks \-gencert \-alias ca
1116     \-ext ku:c=dig,kE \-rfc > server\&.pem
1117 cat root\&.pem ca\&.pem server\&.pem |
1118     keytool \-keystore server\&.jks \-importcert \-alias server
1119 .fi
1120 .if n \{\
1121 .RE
1122 .\}
1123 .SH "用語"
1124 .PP
1125 キーストア
1126 .RS 4








1127 キーストアは、暗号化の鍵と証明書を格納するための機能です。




































































































1128 .RE
1129 .PP
1130 キーストアのエントリ
1131 .RS 4
1132 キーストアには異なるタイプのエントリを含めることができます。\fIkeytool\fRコマンドで最も適用範囲の広いエントリ・タイプは、次の2つです。
1133 .sp
1134 \fB鍵のエントリ\fR
1135 \- 各エントリは、非常に重要な暗号化の鍵の情報を保持します。この情報は、許可していないアクセスを防ぐために、保護された形で格納されます。一般に、この種のエントリとして格納される鍵は、秘密鍵か、対応する公開鍵の証明書チェーンを伴う秘密鍵です。証明書チェーンを参照してください。\fIkeytool\fRコマンドがこの両方のタイプのエントリを処理できるのに対し、\fIjarsigner\fRツールは後者のタイプのエントリ、つまり秘密鍵とそれに関連付けられた証明書チェーンのみを処理します。
1136 .sp
1137 \fB信頼できる証明書のエントリ\fR: 各エントリは、第三者からの公開鍵証明書を1つ含んでいます。このエントリは、信頼できる証明書と呼ばれます。それは、証明書内の公開鍵が、証明書のSubject(所有者)によって特定されるアイデンティティに由来するものであることを、キーストアの所有者が信頼するからです。証明書の発行者は、証明書に署名を付けることによって、その内容を保証します。
1138 .RE
1139 .PP
1140 キーストアの別名
1141 .RS 4
1142 キーストアのすべてのエントリ(鍵および信頼できる証明書エントリ)は、一意の別名を介してアクセスされます。
1143 .sp
1144 別名を指定するのは、\fI\-genseckey\fRコマンドを使用して秘密鍵を生成したり、\fI\-genkeypair\fRコマンドを使用して鍵ペア(公開鍵と秘密鍵)を生成したり、\fI\-importcert\fRコマンドを使用して証明書または証明書チェーンを信頼できる証明書のリストに追加するなど、特定のエンティティをキーストアに追加する場合です。これ以後、\fIkeytool\fRコマンドでエンティティを参照する場合は、このときに指定した別名を使用する必要があります。
1145 .sp
1146 たとえば、\fIduke\fRという別名を使用して新しい公開鍵と秘密鍵のペアを生成し、公開鍵を自己署名証明書でラップするとします。この場合は、次のコマンドを実行します。証明書チェーンを参照してください。
1147 .sp
1148 .if n \{\
1149 .RS 4
1150 .\}
1151 .nf
1152 keytool \-genkeypair \-alias duke \-keypass dukekeypasswd
1153 .fi
1154 .if n \{\
1155 .RE
1156 .\}
1157 この例では、初期パスワードとして\fIdukekeypasswd\fRを指定しています。以後、別名\fIduke\fRに関連付けられた秘密鍵にアクセスするコマンドを実行するときは、このパスワードが必要になります。Dukeの秘密鍵のパスワードをあとから変更するには、次のコマンドを実行します。
1158 .sp
1159 .if n \{\
1160 .RS 4
1161 .\}
1162 .nf
1163 keytool \-keypasswd \-alias duke \-keypass dukekeypasswd \-new newpass
1164 .fi
1165 .if n \{\
1166 .RE
1167 .\}
1168 パスワードが、\fIdukekeypasswd\fRから\fInewpass\fRに変更されます。テストを目的とする場合、または安全であることがわかっているシステムで実行する場合以外は、コマンドラインやスクリプトでパスワードを指定しないでください。必要なパスワードのオプションをコマンドラインで指定しなかった場合は、パスワードの入力を求められます。
1169 .RE
1170 .PP
1171 キーストアの実装
1172 .RS 4
1173 \fIjava\&.security\fRパッケージで提供されている\fIKeyStore\fRクラスは、キーストア内の情報へのアクセスおよび情報の変更を行うための、明確に定義されたインタフェースを提供します。キーストアの固定実装としては、それぞれが特定のタイプのキーストアを対象とする複数の異なる実装が存在可能です。
1174 .sp
1175 現在、\fIkeytool\fRと\fIjarsigner\fRの2つのコマンドライン・ツールと、Policy Toolという名前のGUIベースのツールが、キーストアの実装を使用しています。\fIKeyStore\fRクラスは\fIpublic\fRであるため、ユーザーはKeyStoreを使用した他のセキュリティ・アプリケーションも作成できます。
1176 .sp
1177 キーストアには、Oracleが提供する組込みのデフォルトの実装があります。これは、JKSという名前の独自のキーストア・タイプ(形式)を利用するもので、キーストアをファイルとして実装しています。この実装では、個々の秘密鍵は個別のパスワードによって保護され、キーストア全体の整合性も(秘密鍵とは別の)パスワードによって保護されます。
1178 .sp
1179 キーストアの実装は、プロバイダベースです。具体的には、\fIKeyStore\fRによって提供されるアプリケーション・インタフェースがサービス・プロバイダ・インタフェース(SPI)に基づいて実装されます。つまり、対応する\fIKeystoreSpi\fR抽象クラス(これも\fIjava\&.security\fRパッケージに含まれています)があり、このクラスが、プロバイダが実装する必要のあるService Provider Interfaceのメソッドを定義しています。ここで、\fIプロバイダ\fRとは、Java Security APIによってアクセス可能なサービスのサブセットに対し、その固定実装を提供するパッケージまたはパッケージの集合のことです。キーストアの実装を提供するには、http://docs\&.oracle\&.com/javase/8/docs/technotes/guides/security/crypto/HowToImplAProvider\&.htmlにある
1180 Java暗号化アーキテクチャのプロバイダの実装方法で説明しているように、クライアントはプロバイダを実装し、\fIKeystoreSpi\fRサブクラスの実装を提供する必要があります。
1181 .sp
1182 アプリケーションでは、\fIKeyStore\fRクラスが提供する\fIgetInstance\fRファクトリ・メソッドを使用することで、様々なプロバイダから異なるタイプのキーストアの実装を選択できます。キーストアのタイプは、キーストア情報の格納形式とデータ形式を定義するとともに、キーストア内の非公開/秘密鍵とキーストアの整合性を保護するために使用されるアルゴリズムを定義します。異なるタイプのキーストアの実装には、互換性はありません。
1183 .sp
1184 \fIkeytool\fRコマンドは、任意のファイルベースのキーストア実装で動作します。コマンド・ラインで渡されたキーストアの場所をファイル名として扱って、\fIFileInputStream\fRに変換し、ここからキーストア情報をロードします。\fIjarsigner\fRおよび\fIpolicytool\fRコマンドは、URLで指定できる任意の場所からキーストアを読み取ることができます。
1185 .sp
1186 \fIkeytool\fRと\fIjarsigner\fRの場合、\fI\-storetype\fRオプションを使用してコマンドラインでキーストアのタイプを指定できます。Policy Toolの場合は、「キーストア」メニューによってキーストアのタイプを指定できます。
1187 .sp
1188 ユーザーがキーストアのタイプを明示的に指定しなかった場合、セキュリティ・プロパティ・ファイルで指定された\fIkeystore\&.type\fRプロパティの値に基づいて、ツールによってキーストアの実装が選択されます。このセキュリティ・プロパティ・ファイルは\fIjava\&.security\fRと呼ばれ、Windowsではセキュリティ・プロパティ・ディレクトリ\fIjava\&.home\elib\esecurity\fR、Oracle Solarisでは\fIjava\&.home/lib/security\fRにあります。\fIjava\&.home\fRは、実行時環境のディレクトリです。\fIjre\fRディレクトリは、SDKまたはJava Runtime Environment (JRE)の最上位のディレクトリにあります。
1189 .sp
1190 各ツールは、\fIkeystore\&.type\fRの値を取得し、この値で指定されたタイプのキーストアを実装しているプロバイダが見つかるまで、現在インストールされているすべてのプロバイダを調べます。そのプロバイダからのキーストアの実装を使用します。\fIKeyStore\fRクラスに定義されているstaticメソッド\fIgetDefaultType\fRを使用すると、アプリケーションやアプレットから\fIkeystore\&.type\fRプロパティの値を取得できます。次のコードは、デフォルトのキーストア・タイプ(\fIkeystore\&.type\fRプロパティで指定されたタイプ)のインスタンスを生成します。
1191 .sp
1192 .if n \{\
1193 .RS 4
1194 .\}
1195 .nf
1196 KeyStore keyStore = KeyStore\&.getInstance(KeyStore\&.getDefaultType());
1197 .fi
1198 .if n \{\
1199 .RE
1200 .\}
1201 デフォルトのキーストア・タイプは\fIjks\fRで、これはOracleが提供する独自のタイプのキーストアの実装です。これは、セキュリティ・プロパティ・ファイル内の次の行によって指定されています。
1202 .sp
1203 .if n \{\
1204 .RS 4
1205 .\}
1206 .nf
1207 keystore\&.type=jks
1208 .fi
1209 .if n \{\
1210 .RE
1211 .\}
1212 各ツールでデフォルト以外のキーストアの実装を使用するには、上の行を変更して別のキーストアのタイプを指定します。たとえば、\fIpkcs12\fRと呼ばれるキーストアのタイプのキーストアの実装を提供するプロバイダ・パッケージがある場合、行を次のように変更します。
1213 .sp
1214 .if n \{\
1215 .RS 4
1216 .\}
1217 .nf
1218 keystore\&.type=pkcs12
1219 .fi
1220 .if n \{\
1221 .RE
1222 .\}
1223 \fB注意:\fR
1224 キーストアのタイプの指定では、大文字と小文字は区別されません。たとえば、JKSとjksは同じものとして扱われます。
1225 .RE
1226 .PP
1227 証明書
1228 .RS 4
1229 証明書(公開鍵証明書)とは、あるエンティティ(発行者)からのデジタル署名付きの文書のことです。証明書には、他のあるエンティティ(署名者)の公開鍵(およびその他の情報)が特別な値を持っていることが書かれています。次の用語は、証明書に関連しています。
1230 .sp
1231 \fB公開鍵\fR: 公開鍵は、特定のエンティティに関連付けられた数です。公開鍵は、該当するエンティティとの間に信頼できる関係を持つ必要があるすべての人に対して公開することを意図したものです。公開鍵は、署名を検証するのに使用されます。
1232 .sp
1233 \fBデジタル署名\fR: データがデジタル署名されると、そのデータは、エンティティのアイデンティティと、そのエンティティがデータの内容について知っていることを証明書する署名とともに格納されます。エンティティの秘密鍵を使用してデータに署名を付けると、データの偽造は不可能になります。
1234 .sp
1235 \fBアイデンティティ\fR: エンティティをアドレス指定する既知の方法。システムによっては、公開鍵をアイデンティティにするものがあります。公開鍵の他にも、Oracle Solaris UIDや電子メール・アドレス、X\&.509識別名など、様々なものをアイデンティティとすることができます。
1236 .sp
1237 \fB署名\fR: 署名は、なんらかのデータを基にエンティティの秘密鍵を使用して計算されます。署名者、証明書の場合は発行者とも呼ばれます。
1238 .sp
1239 \fB秘密鍵\fR: 秘密鍵は特定のエンティティのみが知っている数のことで、この数のことを、そのエンティティの秘密鍵といいます。秘密鍵は、他に知られないように秘密にしておくことが前提になっています。秘密鍵と公開鍵は、すべての公開鍵暗号化システムで対になって存在しています。DSAなどの典型的な公開鍵暗号化システムの場合、1つの秘密鍵は正確に1つの公開鍵に対応します。秘密鍵は、署名を計算するのに使用されます。
1240 .sp
1241 \fBエンティティ\fR: エンティティは、人、組織、プログラム、コンピュータ、企業、銀行など、一定の度合いで信頼の対象となる様々なものを指します。
1242 .sp
1243 公開鍵暗号化では、ユーザーの公開鍵にアクセスする必要があります。大規模なネットワーク環境では、互いに通信しているエンティティ間で以前の関係が引続き確立されていると仮定したり、使用されているすべての公開鍵を収めた信頼できるリポジトリが存在すると仮定したりすることは不可能です。このような公開鍵の配布に関する問題を解決するために証明書が考案されました。現在では、証明書発行局(CA)が信頼できる第三者として機能します。CAは、他のエンティティの証明書に署名する(発行する)行為を、信頼して任されているエンティティ(企業など)です。CAは法律上の契約に拘束されるので、有効かつ信頼できる証明書のみを作成するものとして扱われます。VeriSign、Thawte、Entrustをはじめ、多くの公的な証明書発行局が存在します。
1244 .sp
1245 Microsoftの認証サーバー、EntrustのCA製品などを所属組織内で利用すれば、独自の証明書発行局を運営することも可能です。\fIkeytool\fRコマンドを使用すると、証明書の表示、インポートおよびエクスポートを行うことができます。また、自己署名証明書を生成することもできます。
1246 .sp
1247 現在、\fIkeytool\fRコマンドはX\&.509証明書を対象にしています。
1248 .RE
1249 .PP
1250 X\&.509証明書
1251 .RS 4
1252 X\&.509規格では、証明書に含める情報が定義されており、この情報を証明書に書き込む方法(データ形式)についても記述されています。証明書のすべてのデータは、ASN\&.1/DERと呼ばれる2つの関連規格を使用して符号化されます。Abstract Syntax Notation 1はデータについて記述しています。Definite Encoding Rulesは、データの保存および転送の方法について記述しています。
1253 .sp
1254 すべてのX\&.509証明書は、署名の他に次のデータを含んでいます。
1255 .sp
1256 \fBバージョン\fR: 証明書に適用されるX\&.509規格のバージョンを特定します。証明書に指定できる情報は、バージョンによって異なります。今のところ、3つのバージョンが定義されています。\fIkeytool\fRコマンドでは、v1、v2、v3の証明書をインポートおよびエクスポートできます。v3の証明書を生成します。
1257 .sp
1258 X\&.509 Version 1は、1988年から利用されて広く普及しており、最も一般的です。
1259 .sp
1260 X\&.509 Version 2では、Subjectや発行者の名前をあとで再利用できるようにするために、Subjectと発行者の一意識別子の概念が導入されました。ほとんどの証明書プロファイル文書では、名前を再使用しないことと、証明書で一意の識別子を使用しないことが、強く推奨されています。Version 2の証明書は、広くは使用されていません。
1261 .sp
1262 X\&.509 Version 3は最も新しい(1996年)規格で、エクステンションの概念をサポートしています。エクステンションは誰でも定義することができ、証明書に含めることができます。一般的なエクステンションとしては、KeyUsage(\fI署名専用\fRなど、鍵の使用を特定の目的に制限する)、AlternativeNames(DNS名、電子メール・アドレス、IPアドレスなど、他のアイデンティティを公開鍵に関連付けることができる)などがあります。エクステンションには、criticalというマークを付けて、そのエクステンションのチェックと使用を義務づけることができます。たとえば、criticalとマークされ、\fIkeyCertSign\fRが設定されたKeyUsageエクステンションが証明書に含まれている場合、この証明書をSSL通信中に提示すると、証明書が拒否されます。これは、証明書のエクステンションによって、関連する秘密鍵が証明書の署名専用として指定されており、SSLでは使用できないためです。
1263 .sp
1264 \fBシリアル番号\fR: 証明書を作成したエンティティは、そのエンティティが発行する他の証明書と区別するために、証明書にシリアル番号を割り当てます。この情報は、様々な方法で使用されます。たとえば、証明書が取り消されると、シリアル番号が証明書失効リスト(CRL)に格納されます。
1265 .sp
1266 \fB証明書アルゴリズム識別子\fR: 証明書に署名を付けるときにCAが使用したアルゴリズムを特定します。
1267 .sp
1268 \fB発行者名\fR: 証明書に署名を付けたエンティティのX\&.500識別名です。X\&.500識別名を参照してください。通常はCAです。この証明書を使用することは、証明書に署名を付けたエンティティを信頼することを意味します。ルートつまりトップレベルのCAの証明書など、場合によっては発行者が自身の証明書に署名を付けることがあります。
1269 .sp
1270 \fB有効期間\fR: 各証明書は限られた期間のみ有効です。この期間は開始の日時と終了の日時によって指定され、数秒の短い期間から100年という長期にわたることもあります。選択される有効期間は、証明書への署名に使用される秘密鍵の強度や証明書に支払う金額など、様々な要因で異なります。有効期間は、関連する秘密鍵が損われない場合に、エンティティが公開鍵を信頼できると期待される期間です。
1271 .sp
1272 \fB主体名\fR: 証明書で公開鍵を認証するエンティティの名前。この名前はX\&.500標準を使用するので、インターネット全体で一意なものと想定されます。これは、エンティティのX\&.500識別名(DN)です。X\&.500識別名を参照してください。次に例を示します。
1273 .sp
1274 .if n \{\
1275 .RS 4
1276 .\}
1277 .nf
1278 CN=Java Duke, OU=Java Software Division, O=Oracle Corporation, C=US
1279 .fi
1280 .if n \{\
1281 .RE
1282 .\}
1283 これらはそれぞれ主体の通称(CN)、組織単位(OU)、組織(O)、国(C)を表します。
1284 .sp
1285 \fB主体の公開鍵情報\fR: 名前を付けられたエンティティの公開鍵とアルゴリズム識別子です。アルゴリズム識別子では、公開鍵に対して使用されている公開鍵暗号化システムおよび関連する鍵パラメータが指定されています。
1286 .RE
1287 .PP
1288 証明書チェーン
1289 .RS 4
1290 \fIkeytool\fRコマンドでは、秘密鍵および関連する証明書チェーンを含むキーストアの鍵エントリを作成し、管理することができます。このようなエントリでは、秘密鍵に対応する公開鍵は、チェーンの最初の証明書に含まれています。
1291 .sp
1292 鍵を初めて作成すると、自己署名証明書という1つの要素のみを含むチェーンが開始されます。\fIの\fR\-genkeypairコマンドを参照してください。自己署名証明書は発行者(署名者)が主体と同じです。主体は、その公開鍵が証明書によって認証されるエンティティです。\fI\-genkeypair\fRコマンドを呼び出して新しい公開鍵と秘密鍵のペアを作成すると、公開鍵は常に自己署名証明書でラップされます。
1293 .sp
1294 この後、証明書署名リクエスト(CSR)が\fI\-certreq\fRコマンドで生成されて、CSRが証明書発行局(CA)に送信されると、CAからのレスポンスが\fI\-importcert\fRでインポートされ、元の自己署名証明書は証明書チェーンによって置き換えられます。コマンドの\fI\-certreq\fRおよび\fI\-importcert\fRオプションを参照してください。チェーンの最後にあるのは、Subjectの公開鍵を認証したCAが発行した証明書(応答)です。チェーン内のその前の証明書は、CAの公開鍵を認証する証明書です。
1295 .sp
1296 CAの公開鍵を認証する証明書は、多くの場合、自己署名証明書(つまりCAが自身の公開鍵を認証した証明書)であり、これはチェーンの最初の証明書になります。場合によっては、CAが証明書のチェーンを返すこともあります。この場合、チェーン内の最後の証明書(CAによって署名され、鍵エントリの公開鍵を認証する証明書)に変わりはありませんが、チェーン内のその前の証明書は、CSRの送信先のCAとは別のCAによって署名され、CSRの送信先のCAの公開鍵を認証する証明書になります。チェーン内のその前の証明書は、次のCAの鍵を認証する証明書になります。以下同様に、自己署名された「ルート」証明書に達するまでチェーンが続きます。したがって、チェーン内の(最初の証明書以後の)各証明書では、チェーン内の次の証明書の署名者の公開鍵が認証されていることになります。
1297 .sp
1298 多くのCAは、チェーンをサポートせずに発行済の証明書のみを返します。特に、中間のCAが存在しないフラットな階層構造の場合は、その傾向が顕著です。このような場合は、キーストアにすでに格納されている信頼できる証明書情報から、証明書チェーンを確立する必要があります。
1299 .sp
1300 別の応答形式(PKCS#7で定義されている形式)では、発行済証明書に加え、証明書チェーンのサポートが含まれています。\fIkeytool\fRコマンドでは、どちらの応答形式も扱うことができます。
1301 .sp
1302 トップレベル(ルート)CAの証明書は、自己署名証明書です。ただし、ルートの公開鍵への信頼は、ルート証明書自体からではなく、新聞など他のソースから取得されます。これは、VeriSignルートCAなどの識別名を使用して、誰でも自己署名型証明書を生成できるためです。ルートCAの公開鍵は広く知られています。ルートCAの公開鍵を証明書に格納する理由は、証明書という形式にすることで多くのツールから利用できるようになるからにすぎません。つまり、証明書は、ルートCAの公開鍵を運ぶ「媒体」として利用されるのみです。ルートCAの証明書をキーストアに追加するときは、\fI\-printcert\fRオプションを使用して、その前に証明書の内容を表示し、表示されたフィンガープリントと、新聞やルートCAのWebページなどから入手した既知のフィンガープリントとを比較する必要があります。
1303 .RE
1304 .PP
1305 cacerts証明書ファイル
1306 .RS 4
1307 \fIcacerts\fRという名前の証明書ファイルは、Windowsではセキュリティ・プロパティ・ディレクトリ\fIjava\&.home\elib\esecurity\fR、Oracle Solarisでは\fIjava\&.home/lib/security\fRに置かれています。\fIjava\&.home\fRは、実行環境のディレクトリ(SDKの\fIjre\fRディレクトリまたはJREの最上位ディレクトリ)です。
1308 .sp
1309 \fIcacerts\fRファイルは、CAの証明書を含む、システム全体のキーストアです。システム管理者は、キーストア・タイプに\fIjks\fRを指定することで、\fIkeytool\fRコマンドを使用してこのファイルの構成と管理を行うことができます。\fIcacerts\fRキーストア・ファイルは、ルートCA証明書のデフォルト・セットを含んだ状態で出荷されています。デフォルトの証明書を一覧表示するには、次のコマンドを使用します。
1310 .sp
1311 .if n \{\
1312 .RS 4
1313 .\}
1314 .nf
1315 keytool \-list \-keystore java\&.home/lib/security/cacerts
1316 .fi
1317 .if n \{\
1318 .RE
1319 .\}
1320 \fIcacerts\fRキーストア・ファイルの初期パスワードは、\fIchangeit\fRです。システム管理者は、SDKのインストール後、このファイルのパスワードとデフォルト・アクセス権を変更する必要があります。
1321 .sp
1322 \fB注意:\fR
1323 \fIcacerts\fRファイルを確認することが重要です。\fIcacerts\fRファイル内のCAは、署名および他のエンティティへの証明書発行のためのエンティティとして信頼されるため、\fIcacerts\fRファイルの管理は慎重に行う必要があります。\fIcacerts\fRファイルには、信頼するCAの証明書のみが含まれている必要があります。ユーザーは、自身の責任において、\fIcacerts\fRファイルにバンドルされている信頼できるルートCA証明書を検証し、信頼性に関する独自の決定を行います。
1324 .sp
1325 信頼できないCA証明書を\fIcacerts\fRファイルから削除するには、\fIkeytool\fRコマンドの\fIdelete\fRオプションを使用します。\fIcacerts\fRファイルはJREのインストール・ディレクトリにあります。このファイルを編集するアクセス権がない場合は、システム管理者に連絡してください
1326 .RE
1327 .PP
1328 インターネットRFC 1421証明書符号化規格
1329 .RS 4
1330 多くの場合、証明書は、バイナリ符号化ではなく、インターネットRFC 1421規格で定義されている出力可能符号化方式を使用して格納されます。Base 64符号化とも呼ばれるこの証明書形式では、電子メールやその他の機構を通じて、他のアプリケーションに証明書を容易にエクスポートできます。
1331 .sp
1332 \fI\-importcert\fRと\fI\-printcert\fRコマンドでは、この形式の証明書とバイナリ符号化の証明書を読み込むことができます。\fI\-exportcert\fRコマンドでは、デフォルトでバイナリ符号化の証明書が出力されます。ただし、\fI\-rfc\fRオプションを指定した場合は、出力可能符号化方式の証明書が出力されます。
1333 .sp
1334 \fI\-list\fRコマンドでは、デフォルトで証明書のSHA1フィンガープリントが出力されます。\fI\-v\fRオプションが指定されている場合、証明書は人が理解できる形式で出力されます。\fI\-rfc\fRオプションが指定されている場合、証明書は出力可能符号化方式で出力されます。
1335 .sp
1336 出力可能符号化方式で符号化された証明書は、次のテキストで始まり、次のテキストで終了します。
1337 .sp
1338 .if n \{\
1339 .RS 4
1340 .\}





































1341 .nf


1342 \-\-\-\-\-BEGIN CERTIFICATE\-\-\-\-\-
1343 
1344 encoded certificate goes here\&. 
1345 





1346 \-\-\-\-\-END CERTIFICATE\-\-\-\-\-


1347 .fi
1348 .if n \{\
1349 .RE
1350 .\}


























1351 .RE
1352 .PP
1353 X\&.500識別名
1354 .RS 4
1355 X\&.500識別名は、エンティティを特定するために使用されます。たとえば、X\&.509証明書の\fIsubject\fRフィールドと\fIissuer\fR(署名者)フィールドで指定される名前は、X\&.500識別名です。\fIkeytool\fRコマンドは、次のサブパートをサポートしています。
1356 .sp
1357 \fBcommonName\fR: Susan Jonesなど、人の通称。
1358 .sp
1359 \fBorganizationUnit\fR: 小さな組織(部、課など)の名称。Purchasingなどです。
1360 .sp
1361 \fBlocalityName\fR: 地域(都市)名。Palo Altoなど。
1362 .sp
1363 \fBstateName\fR: 州名または地方名。Californiaなど。
1364 .sp
1365 \fBcountry\fR: 2文字の国コード。CHなど。
1366 .sp
1367 識別名文字列を\fI\-dname\fRオプションの値として指定する場合(たとえば\fI\-genkeypair\fRコマンドに)、文字列は次の形式にする必要があります。
1368 .sp
1369 .if n \{\
1370 .RS 4
1371 .\}
1372 .nf
1373 CN=cName, OU=orgUnit, O=org, L=city, S=state, C=countryCode
1374 .fi
1375 .if n \{\
1376 .RE
1377 .\}
1378 イタリック体の項目は、実際に指定する値を表します。短縮形のキーワードの意味は、次のとおりです。
1379 .sp
1380 .if n \{\
1381 .RS 4
1382 .\}
1383 .nf
1384 CN=commonName
1385 OU=organizationUnit
1386 O=organizationName
1387 L=localityName
1388 S=stateName
1389 C=country
1390 .fi
1391 .if n \{\
1392 .RE
1393 .\}
1394 次に示すのは、識別名文字列の例です。
1395 .sp
1396 .if n \{\
1397 .RS 4
1398 .\}
1399 .nf


1400 CN=Mark Smith, OU=Java, O=Oracle, L=Cupertino, S=California, C=US


1401 .fi
1402 .if n \{\
1403 .RE
1404 .\}
1405 この文字列を使用したコマンドの例です。
1406 .sp
1407 .if n \{\
1408 .RS 4
1409 .\}
1410 .nf


1411 keytool \-genkeypair \-dname "CN=Mark Smith, OU=Java, O=Oracle, L=Cupertino,

1412 S=California, C=US" \-alias mark


1413 .fi
1414 .if n \{\
1415 .RE
1416 .\}
1417 キーワードの短縮形では、大文字と小文字は区別されません。たとえば、CN、cnおよびCnは、どれも同じものとして扱われます。
1418 .sp
1419 一方、キーワードの指定順序には意味があり、各サブコンポーネントは上に示した順序で指定する必要があります。ただし、サブコンポーネントをすべて指定する必要はありません。たとえば、次のように一部のサブコンポーネントのみを指定できます。
1420 .sp
1421 .if n \{\
1422 .RS 4
1423 .\}
1424 .nf


1425 CN=Steve Meier, OU=Java, O=Oracle, C=US


1426 .fi
1427 .if n \{\
1428 .RE
1429 .\}
1430 識別名文字列の値にカンマが含まれる場合に、コマンドラインで文字列を指定するときには、次のようにカンマをバックスラッシュ文字(\e)でエスケープする必要があります。
1431 .sp
1432 .if n \{\
1433 .RS 4
1434 .\}
1435 .nf
1436 cn=Peter Schuster, ou=Java\e, Product Development, o=Oracle, c=US
1437 .fi
1438 .if n \{\
1439 .RE
1440 .\}
1441 識別名文字列をコマンドラインで指定する必要はありません。識別名を必要とするコマンドを実行するときに、コマンドラインで識別名を指定しなかった場合は、各サブコンポーネントの入力を求められます。この場合は、カンマをバックスラッシュ(\e)でエスケープする必要はありません。
1442 .RE
1443 .SH "警告"
1444 .SS "信頼できる証明書のインポート警告"
1445 .PP
1446 \fB重要\fR: 信頼できる証明書として証明書をインポートする前に、証明書の内容を慎重に調べてください。
1447 Windowsの例:.PP
1448 まず、\fI\-noprompt\fRオプションを指定せずに\fI\-printcert\fRコマンドまたは\fI\-importcert\fRコマンドを使用して、証明書を表示します。表示された証明書のフィンガープリントが、期待されるフィンガープリントと一致することを確認します。たとえば、証明書が送られてきて、この証明書を\fI\etmp\ecert\fRという名前でファイルに格納しているとします。この場合は、信頼できる証明書のリストにこの証明書を追加する前に、\fI\-printcert\fRコマンドを実行してフィンガープリントを表示できます。たとえば、次のようにします。
1449 .sp
1450 .if n \{\
1451 .RS 4
1452 .\}
1453 .nf
1454   keytool \-printcert \-file \etmp\ecert
1455     Owner: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll
1456     Issuer: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll
1457     Serial Number: 59092b34
1458     Valid from: Thu Sep 25 18:01:13 PDT 1997 until: Wed Dec 24 17:01:13 PST 1997
1459     Certificate Fingerprints:
1460          MD5:  11:81:AD:92:C8:E5:0E:A2:01:2E:D4:7A:D7:5F:07:6F
1461          SHA1: 20:B6:17:FA:EF:E5:55:8A:D0:71:1F:E8:D6:9D:C0:37:13:0E:5E:FE
1462          SHA256: 90:7B:70:0A:EA:DC:16:79:92:99:41:FF:8A:FE:EB:90:
1463                  17:75:E0:90:B2:24:4D:3A:2A:16:A6:E4:11:0F:67:A4
1464 .fi
1465 .if n \{\
1466 .RE
1467 .\}
1468 Oracle Solarisの例:.PP
1469 まず、\fI\-noprompt\fRオプションを指定せずに\fI\-printcert\fRコマンドまたは\fI\-importcert\fRコマンドを使用して、証明書を表示します。表示された証明書のフィンガープリントが、期待されるフィンガープリントと一致することを確認します。たとえば、あるユーザーから証明書が送られてきて、この証明書を\fI/tmp/cert\fRという名前でファイルに格納しているとします。この場合は、信頼できる証明書のリストにこの証明書を追加する前に、\fI\-printcert\fRコマンドを実行してフィンガープリントを表示できます。たとえば、次のようにします。
1470 .sp
1471 .if n \{\
1472 .RS 4
1473 .\}





1474 .nf


1475   keytool \-printcert \-file /tmp/cert

1476     Owner: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll

1477     Issuer: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll

1478     Serial Number: 59092b34

1479     Valid from: Thu Sep 25 18:01:13 PDT 1997 until: Wed Dec 24 17:01:13 PST 1997

1480     Certificate Fingerprints:

1481          MD5:  11:81:AD:92:C8:E5:0E:A2:01:2E:D4:7A:D7:5F:07:6F

1482          SHA1: 20:B6:17:FA:EF:E5:55:8A:D0:71:1F:E8:D6:9D:C0:37:13:0E:5E:FE

1483          SHA256: 90:7B:70:0A:EA:DC:16:79:92:99:41:FF:8A:FE:EB:90:

1484                  17:75:E0:90:B2:24:4D:3A:2A:16:A6:E4:11:0F:67:A4


















































1485 .fi
1486 .if n \{\
1487 .RE
1488 .\}
1489 .PP
1490 次に、証明書を送信した人物に連絡し、この人物が提示したフィンガープリントと、上のコマンドで表示されたフィンガープリントとを比較します。フィンガープリントが一致すれば、送信途中で他の何者か(攻撃者など)による証明書のすり替えが行われていないことを確認できます。送信途中でこの種の攻撃が行われていた場合、チェックを行わずに証明書をインポートすると、攻撃者によって署名されたすべてのもの(攻撃的意図を持つクラス・ファイルを含んだJARファイルなど)を信頼することになります。
1491 .PP
1492 \fB注意:\fR
1493 証明書をインポートする前に\fI\-printcert\fRコマンドを実行する必要はありません。キーストア内の信頼できる証明書のリストに証明書を追加する前に、\fI\-importcert\fRコマンドによって証明書の情報が表示され、確認を求めるメッセージが表示されるためです。ユーザーはインポート操作を停止できます。ただし、これを実行できるのは、\fI\-noprompt\fRオプションを指定せずに\fI\-importcert\fRコマンドを呼び出す場合のみです。\fI\-noprompt\fRオプションが指定されている場合、ユーザーとの対話は行われません。
1494 .SS "パスワード警告"
1495 .PP
1496 キーストアに対する操作を行うほとんどのコマンドでは、ストアのパスワードが必要です。また、一部のコマンドでは、非公開/秘密鍵のパスワードが必要になることがあります。パスワードはコマンドラインで指定できます(\fI\-storepass\fRオプションと\fI\-keypass\fRオプションを使用)。ただし、テストを目的とする場合、または安全であることがわかっているシステムで実行する場合以外は、コマンドラインやスクリプトでパスワードを指定しないでください。必要なパスワードのオプションをコマンドラインで指定しなかった場合は、パスワードの入力を求められます。
1497 .SS "証明書の準拠に関する警告"
1498 .PP
1499 インターネット標準RFC 5280では、X\&.509証明書の準拠に関するプロファイルが定義されており、証明書のフィールドおよびエクステンションに有効な値および値の組合せが記載されています。標準については、
1500 http://tools\&.ietf\&.org/rfc/rfc5280\&.txtを参照してください
1501 .PP
1502 \fIkeytool\fRコマンドでは、これらのルールすべてが適用されるわけではないため、標準に準拠しない証明書を生成できます。標準に準拠しない証明書は、JREや他のアプリケーションで拒否されることがあります。ユーザーは、\fI\-dname\fRや\fI\-ext\fRなどで適正なオプションを指定するようにしてください。
1503 .SH "注意"
1504 .SS "新しい信頼できる証明書のインポート"
1505 .PP
1506 \fIkeytool\fRコマンドは、キーストアに証明書を追加する前に、キーストア内にすでに存在する信頼できる証明書を使用して、インポートする証明書から(ルートCAの)自己署名証明書に至るまでの信頼のチェーンの構築を試みます。
1507 .PP
1508 \fI\-trustcacerts\fRオプションを指定した場合、追加の証明書は信頼できるすなわち\fIcacerts\fRという名前のファイルに含まれる証明書のチェーンとみなされます。
1509 .PP
1510 \fIkeytool\fRコマンドが、インポートする証明書から自己署名証明書(キーストアまたは\fIcacerts\fRファイルに含まれている自己署名証明書)に至るまでの信頼のパスの構築に失敗した場合は、インポートする証明書の情報を表示し、ユーザーに確認を求めます。この場合は、表示された証明書のフィンガープリントと、他のなんらかの(信頼できる)情報源(証明書の所有者など)から入手したフィンガープリントとを比較します。信頼できる証明書として証明書をインポートするときは、証明書が有効であることを慎重に確認する必要があります。信頼できる証明書のインポート警告を参照してください。インポート操作は、証明書を確認する時点で中止できます。\fI\-noprompt\fRオプションが指定されている場合、ユーザーとの対話は行われません。
1511 .SS "証明書応答のインポート"
1512 .PP
1513 証明書応答をインポートするときは、キーストア内の信頼できる証明書、および(\fI\-trustcacert\fR\fIs\fRオプションが指定されている場合は)\fIcacerts\fRキーストア・ファイルで構成された証明書を使用して証明書応答が検査されます。cacerts証明書ファイルを参照してください。
1514 .PP
1515 証明書応答が信頼できるかどうかを決定する方法は次のとおりです。
1516 .sp
1517 .RS 4
1518 .ie n \{\
1519 \h'-04'\(bu\h'+03'\c
1520 .\}
1521 .el \{\
1522 .sp -1
1523 .IP \(bu 2.3
1524 .\}
1525 証明書応答が単一のX\&.509証明書である場合、\fIkeytool\fRコマンドは、証明書応答から(ルートCAの)自己署名証明書に至るまでの信頼チェーンの確立を試みます。証明書応答と、証明書応答の認証に使用される証明書の階層構造は、aliasの新しい証明書チェーンを形成します。信頼チェーンが確立されない場合、証明書応答はインポートされません。この場合、\fIkeytool\fRコマンドは証明書を出力せず、ユーザーに検証を求めるプロンプトを表示します。ユーザーが証明書応答の信頼性を判断するのは非常に難しいためです。
1526 .RE
1527 .sp
1528 .RS 4
1529 .ie n \{\
1530 \h'-04'\(bu\h'+03'\c
1531 .\}
1532 .el \{\
1533 .sp -1
1534 .IP \(bu 2.3
1535 .\}
1536 証明書応答がPKCS#7形式の証明書チェーンまたは一連のX\&.509証明書である場合、チェーンは、ユーザーの証明書が最初に、0以上のCA証明書がその次にくるように並べられます。チェーンが自己署名のルートCA証明書で終わり、\fI \-trustcacerts\fRオプションが指定されている場合、\fIkeytool\fRコマンドは、その証明書と、キーストア内または\fIcacerts\fRキーストア・ファイル内の信頼できるすべての証明書を照合しようとします。チェーンが自己署名のルートCA証明書で終わっておらず、\fI\-trustcacerts\fRオプションが指定されている場合、\fIkeytool\fRコマンドは、キーストア内または\fIcacerts\fRキーストア・ファイル内の信頼できる証明書から自己署名のルートCA証明書を見つけてそれをチェーンの末尾に追加しようとします。その証明書が見つからず、\fI\-noprompt\fRオプションが指定されていない場合は、チェーン内の最後の証明書の情報が出力され、ユーザーは確認を求められます。
1537 .RE
1538 .PP
1539 証明書応答内の公開鍵が\fIalias\fRですでに格納されているユーザーの公開鍵に一致した場合、古い証明書チェーンが応答内の新しい証明書チェーンで置き換えられます。以前の証明書チェーンを有効な\fIkeypass\fRで置き換えることができるのは、エントリの秘密鍵を保護するためのパスワードを指定した場合のみです。パスワードを指定しておらず、秘密鍵のパスワードがキーストアのパスワードと異なる場合は、秘密鍵のパスワードの入力を求められます。
1540 .PP
1541 このコマンドは、以前のリリースでは\fI\-import\fRという名前でした。このリリースでは、引き続き古い名前がサポートされています。今後は、新しい名前\fI\-importcert\fRが優先されます。
1542 .SH "関連項目"
1543 .sp
1544 .RS 4
1545 .ie n \{\
1546 \h'-04'\(bu\h'+03'\c
1547 .\}
1548 .el \{\
1549 .sp -1
1550 .IP \(bu 2.3
1551 .\}
1552 jar(1)
1553 .RE
1554 .sp
1555 .RS 4
1556 .ie n \{\
1557 \h'-04'\(bu\h'+03'\c
1558 .\}
1559 .el \{\
1560 .sp -1
1561 .IP \(bu 2.3
1562 .\}
1563 jarsigner(1)
1564 .RE
1565 .sp
1566 .RS 4
1567 .ie n \{\
1568 \h'-04'\(bu\h'+03'\c
1569 .\}
1570 .el \{\
1571 .sp -1
1572 .IP \(bu 2.3
1573 .\}
1574 http://docs\&.oracle\&.com/javase/tutorial/security/index\&.htmlにある
1575 「コース: Java SEのセキュリティ機能」
1576 .RE
1577 .br
1578 'pl 8.5i
1579 'bp