keytool 是个密钥和证书管理工具。它使用户能够管理自己的公钥/私钥对及相关证书，用于（通过数字签名）自我认证（用户向别的用户/服务认证自己）或数据完整性以及认证服务。它还允许用户储存他们的通信对等者的公钥（以证书形式）。
keytool 将密钥和证书储存在一个所谓的密钥仓库中。缺省的密钥仓库实现将密钥仓库实现为一个文件。它用口令来保护私钥。
1.使用 -genkey
改参数是用来生成秘钥对。格式如下：keytool -genkey -alias duke -keypass mypassword
2. -genkeypair
创建证书库(keystore)及证书(Certificate)
Keytool -genkeypair -alias test.mydomain.com -keyalg RSA -keysize 2048 -keypass mypassword -sigalg SHA256withRSA -dname "CN=test.mydomain.com,OU=test,O=test,L=beijing,C=CN" -validity 5475 -keystore D:\test.mydomain.com -keystore.p12 -storetype PKCS12-storepass mypassword
3. -certreq
生成证书请求(CSR),使用格式如下：
keytool -certreq -keyalg RSA -alias test.mydomain.com -keystore D:\test.mydomain.com_keystore.p12 -storetype PKCS12 -storepass mypassword -file D:\test.mydomain.com_certreq.csr
这样我们就可以吧生成的请求证书发给证书颁发机构去创建证书了。在完成证书申请后，会给我们三个文件：一级根证书，二级根证书和三级证书。我们还是要用keytool将颁发的证书合并到上面生成的P12文件中
keytool -import -trustcacerts -keystore D:\test.mydomain.com_keystore.p12 -storepass mypassword -alias root-file D:\root.cer(导入一级证书)
keytool -import -trustcacerts -keystore D:\test.mydomain.com_keystore.p12 -storepass mypassword -alias issuer-file D:\issuer.cer(导入二级证书)
keytool -import -trustcacerts -keystore D:\test.mydomain.com_keystore.p12 -storepass mypassword -companyroot-file D:\company.cer(导入三级证书)
4.遇到的问题
如果按照上面使用keytool -import将证书文件导入到P12文件中，你会遇到invalid keystore format，明明是正确的P12文件，为啥会报这样的错误呢。
我们在使用Keytoo -genkeypair的时候收使用参数-storetype指定为PCKS12的类型，我们在使用keytool -import的时候也要使用该数据就可以了，重新输入如下到CMD中就一切正常了。
keytool -import -trustcacerts -keystore D:\test.mydomain.com_keystore.p12 -storepass mypassword -storetype PKCS12 -alias root-file D:\root.cer(导入一级证书)
keytool -import -trustcacerts -keystore D:\test.mydomain.com_keystore.p12 -storepass mypassword -storetype PKCS12 -alias issuer-file D:\issuer.cer(导入二级证书)
keytool -import -trustcacerts -keystore D:\test.mydomain.com_keystore.p12 -storepass mypassword -storetype PKCS12 -companyroot-file D:\company.cer(导入三级证书)