對所有的密鑰倉庫項（密鑰項和可信任的證書項）的訪問都要通過唯一的別名來進行。別名不區分大小寫，即別名 Hugo 和 hugo 指的是同一密鑰倉庫項。
當用 -genkey 命令來生成密鑰對（公鑰和私鑰）或用 -import 命令來將證書或證書鏈加到可信任證書的清單中，以增加一個實體到密鑰倉庫中，必須指定了一個別名。后續 keytool 命令必須使用這一相同的別名來引用該實體。
例如，假設您用別名 duke 生成了新的公鑰/私鑰密鑰對并將公鑰用以下命令打包到自簽名證書中（參見證書鏈）：
??? keytool -genkey -alias duke -keypass dukekeypasswd
這指定了一個初始口令“dukekeypasswd”，接下來的命令都要使用該口令才能訪問與別名 duke 相關聯的私鑰。以后如果您想更改 duke 的 私鑰口令，可用類似下述的命令： ??? keytool -keypasswd -alias duke -keypass dukekeypasswd -new newpass
這將把口令從“dukekeypasswd”改為“newpass”。
請注意：實際上，除非是作為測試目的或是在安全的系統上，否則不應在命令行或腳本中指定口令。如果沒有在命令行上指定所要求的口令選項，您將會得到要求輸入口令的提示。當在口令提示符下鍵入口令時，口令將被即時顯示出來（鍵入什么就顯示什么），因此，要小心，不要當著任何人的面鍵入口令。
java.security 包中提供的 KeyStore 類為訪問和修改密鑰倉庫中的信息提供了相當固定的接口。可以有多個不同的具體實現，其中每個實現都是對某個特定類型的密鑰倉庫的具體實現。
目前，有兩個命令行工具（keytool 和 jarsigner）以及一個名為 Policy Tool 的基于 GUI 的工具使用密鑰倉庫實現。由于密鑰倉庫是公用的，JDK 用戶可利用它來編寫其它的安全性應用程序。
Sun Microsystems 公司提供了一個內置的缺省實現。它利用名為“JKS” 的專用密鑰倉庫類型（格式），將密鑰倉庫實現為一個文件。它用個人口令保護每個私鑰，也用口令（可能為另一個口令）保護整個密鑰倉庫的完整性。
密鑰倉庫的實現基于提供者 (provider)。更具體地說，由密鑰倉庫所提供的應用程序接口是借助于“服務提供者接口”(SPI) 來實現的。也就是說，在 java.security 包中還有一個對應的抽象 KeystoreSpi 類，它定義了“提供者”必須實現的服務提供者接口方法。（術語“提供者”指的是一個或一組包，這個或這組包提供了一部份可由 Java 安全 API 訪問的服務子集的具體實現。因此，要提供某個密鑰倉庫實現，客戶機必須實現一個“提供者”并實現 KeystoreSpi 子類，如如何為 Java 加密體系結構實現 Provider 中所述。
通過使用 KeyStore 類中提供的“getInstance”工廠方法，應用程序可從不同的提供者中挑選不同類型的密鑰倉庫實現。密鑰倉庫類型定義密鑰倉庫信息的存儲和數據格式，以及用于保護密鑰倉庫中的私鑰和密鑰倉庫自身完整性的算法。不同類型的密鑰倉庫實現是不兼容的。
keytool 使用基于文件的密鑰倉庫實現 （它把在命令行中傳遞給它的密鑰倉庫位置當成文件名處理并將之轉換為文件輸入流，從該文件輸入流中加載密鑰倉庫信息）。另一方面，jarsigner 和 policytool 工具可從任何可用 URL 指定的位置讀取某個密鑰倉庫。
對于 keytool 和 jarsigner，可在命令行用 -storetype 選項指定密鑰倉庫類型。對于 Policy Tool，可通過 “編輯”菜單中的“更改密鑰倉庫”命令來指定密鑰倉庫類型。
如果沒有明確指定一個密鑰倉庫類型，這些工具將只是根據安全屬性文件中指定的 keystore.type 屬性值來選擇密鑰倉庫實現。安全屬性文件名為 java.security，它位于 JDK 安全屬性目錄 java.home/lib/security 中，其中 java.home 為 JDK 的安裝目錄。
每個工具都先獲取 keystore.type 的值，然后檢查所有當前已安裝的提供者直到找到一個實現所要求類型的密鑰倉庫的實現為止。然后就使用該提供者的密鑰倉庫實現。
KeyStore 類定義了一個名為 getDefaultType 的靜態方法，它可讓應用程序或 applet 檢索 keystore.type 屬性的值。以下代碼將創建缺省密鑰倉庫類型（此類型由 keystore.type 屬性所指定。）的一個實例：
??? KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
缺省的密鑰倉庫類型是“jks”（這是由“SUN”提供者提供的密鑰倉庫實現的專用類型）。它在安全性屬性文件中由下行進行指定： ??? keystore.type=jks
要讓工具使用不同于缺省類型的密鑰倉庫實現，可更改此行，指定不同的密鑰倉庫類型。
例如，如果您有一個這樣的提供者包，它給出一個名為“pkcs12”的密鑰倉庫類型的密鑰倉庫實現，則可將上面那行改為：
??? keystore.type=pkcs12
注意：密鑰倉庫類型的命名中大小寫無關緊要。例如，“JKS”將被認為是與“jks”相同的。
證書（也叫公鑰證書）是來自某個實體（簽發人）的經數字簽名的聲明，它聲明另一實體（主體）的公鑰（及其它信息）具有某一特定的值。
下面詳細解釋本句中使用的主要術語：
?
- 公鑰
- 是與特定實體相關聯的數字。所有需要與該實體進行信任交互的人都應知道該數字。公鑰用于校驗簽名。
- 經數字簽名
- 如果某些數據經數字簽名，說明它們已與某一實體的“身份”存儲在一起，而且證明該實體的簽名知道這些數據。通過用該實體的私鑰進行繪制，這些數據就是不可偽造的了。
- 身份
- 用于聲明實體的一種手段。某些系統中，身份是公鑰，而在另一些系統中則可以是 Unix UID、電子郵件地址或 X.509 特征名等等。
- 簽名
- 所謂簽名，就是用實體的（簽名人，在證書中也稱為簽發人）私鑰對某些數據進行計算。
- 私鑰
- 是一些數字，每個數字都應僅被以該數字作為私鑰的特定實體所知（即該數字應保密）。在所有公鑰密碼系統中，私鑰和公鑰均成對出現。在 DSA 等具體的公鑰密碼系統中，一個私鑰只對應一個公鑰。私鑰用于計算簽名。
- 實體
- 實體是您在某種程度上對其加以信任的個人、組織、程序、計算機、企業、銀行等。
通常，公鑰密碼系統需要訪問用戶的公鑰。在大型聯網環境中，并不能確保通信實體之間已經預先建立起關系，也無法確保受信任的儲存庫與所用的公鑰都存在。于是人們發明了證書作為公鑰分配問題的解決辦法。現在，認證機構 (CA) 可充當可信任的第三方。CA 是可信任的向其它實體簽名（發放）證書的實體（例如企業）。由于 CA 受法律協議約束，因此可認為它們只提供可靠有效的證書。公共認證機構數量很多，例如 VeriSign、Thawte、Entrust 等等。您還可以使用諸如 Netscape/Microsoft Certificate Servers 或 Entrust CA 等產品來自己運營認證機構。
使用 keytool 可以顯示、導入和導出證書。還可以產生自簽名證書。
keytool 目前處理 X.509 證書。
X.509 證書
X.509 標準規定了證書可以包含什么信息，并說明了記錄信息的方法（數據格式）。除了簽名外，所有 X.509 證書還包含以下數據：
?
- 版本
- 識別用于該證書的 X.509 標準的版本，該版本影響證書中所能指定的信息。迄今為止，已定義的版本有三個。keytool 可導入和導出 v1、v2 和 v3 版的證書。它只能生成 v1 版證書。
- 序列號
- 發放證書的實體有責任為證書指定序列號，以使其區別于該實體發放的其它證書。此信息用途很多。例如，如果某一證書被撤消，其序列號將放到證書撤消清單 (CRL) 中。
- 簽名算法標識符
- 用于標識 CA 簽名證書時所用的算法。
- 簽發人名稱
- 簽名證書的實體的 X.500 特征名。它通常為一個 CA。使用該證書意味著信任簽名該證書的實體。注意：有些情況下（例如根或頂層 CA 證書），簽發人會簽名自己的證書。
- 有效期
- 每個證書均只能在一個有限的時間段內有效。該有效期以起始日期和時間及終止日期和時間表示，可以短至幾秒或長至一世紀。所選有效期取決于許多因素，例如用于簽名證書的私鑰的使用頻率及愿為證書支付的金錢等。它是在沒有危及相關私鑰的條件下，實體可以依賴公鑰值的預計時間。
- 主體名
- 證書可以識別其公鑰的實體名。此名稱使用 X.500 標準，因此在Internet中應是唯一的。它是實體的 X.500 特征名 (DN)，例如，
??? CN=Java Duke, OU=Java Software Division, O=Sun Microsystems Inc, C=US
（這些指主體的通用名、組織單位、組織和國家。）
- 主體公鑰信息
- 這是被命名實體的公鑰，同時包括指定該密鑰所屬公鑰密碼系統的算法標識符及所有相關的密鑰參數。
X.509 1 版 1988 年發布，已得到廣泛使用，是最常用的版本。
X.509 2 版引入了主體和簽發人唯一標識符的概念，以解決主體和/或簽發人名稱在一段時間后可能重復使用的問題。大多數證書監視文檔都極力建議不要重復使用主體或簽發人名稱，而且建議證書不要使用唯一標識符。版本 2 證書尚未得到廣泛使用。
X.509 3 版是最新的版本（1996 年）。它支持擴展的概念，因此任何人均可定義擴展并將其納入證書中。現在常用的擴展包括：KeyUsage（僅限密鑰用于特殊目的，例如“只簽名”）和 AlternativeNames（允許其它身份也與該公鑰關聯，例如 DNS 名、電子郵件地址、IP 地址）。擴展可標記為“極重要”，以表示該擴展應被檢查并執行或使用。例如，如果某一證書將 KeyUsage 擴展標記為“極重要”，而且設置為“keyCertSign”，則在 SSL 通訊期間該證書出現時將被拒絕，因為該證書擴展表示相關私鑰應只用于簽名證書，而不應該用于 SSL。
證書中的所有數據均用兩個名為 ASN.1/DER 的相關標準進行編碼。抽象語法注釋 1(Abstract Syntax Notation 1) 描述數據。確定性編碼規則 (Definite Encoding Rules) 描述儲存和傳輸該數據的唯一方式。
X.500 特征名
X.500 特征名用于標識實體，例如 X.509 證書的 主體和簽發人（簽名人）域所命名的實體。keytool 支持以下的子組件：
?
- commonName - 個人常用名，例如“Susan Jones”
- organizationUnit - 小型組織（例如部門或分部）的名稱，例如“Purchasing”
- organizationName - 大型組織的名稱，例如“ABCSystems, Inc.”
- localityName - 地方（城市）名，例如“Palo Alto”
- stateName - 州或省份名，例如“California”
- country - 兩個字母的國家代碼，例如“CH”
當給出一個特征名字符串作為 -dname 選項的值時，例如 -genkey 或 -selfcert 命令中的該選項，字符串必須為以下格式： CN=cName, OU=orgUnit, O=org, L=city, S=state, C=countryCode
其中所有的斜體字代表實際值而上面的關鍵字是以下縮寫： ??????? CN=commonName
??????? OU=organizationUnit
??????? O=organizationName
??????? L=localityName
??????? S=stateName
??????? C=country
以下是特征名字符串樣本： CN=Mark Smith, OU=JavaSoft, O=Sun, L=Cupertino, S=California, C=US
以下是使用這一字符串的樣本命令： keytool -genkey -dname "CN=Mark Smith, OU=JavaSoft, O=Sun, L=Cupertino,
S=California, C=US" -alias mark
大小寫對關鍵字縮寫無關緊要。例如，“CN”、“cn”和“Cn”都將被當作是一樣的。
但順序是有關系的；每個子組件必須按設計好的順序出現。但是，不是所有子組件都必須有。可以只用一部分，例如：
CN=Steve Meier, OU=SunSoft, O=Sun, C=US
如果特征名字符串的值含有逗號，當在命令行指定該字符串時，逗號必須用“\”字符來進行轉義，如下所示： ?? cn=peter schuster, o=Sun Microsystems\, Inc., o=sun, c=us
在命令行中指定特征名字符串是不必要的。如果某一命令需要指定特征名字符串，而在命令行中又未提供，則用戶將得到每個子組件的提示。這種情況下，逗號不需要用“\”來轉義。
Internet RFC 1421 證書編碼標準
證書常用 Internet RFC 1421 標準中定義的可打印的編碼格式來存儲，而不是用其二進制編碼來存儲。這種證書格式，也稱“Base 64 編碼”，便于通過電子郵件或其它機制將證書導出到別的應用程序中。
用 -import 和 -printcert 命令讀入的證書可以是這種格式的編碼或是二進制格式的編碼。
缺省情況下，-export 命令將以二進制編碼格式輸出證書，但如果指定了 -rfc 選項，則將以可打印的編碼格式輸出證書。
缺省情況下，-list 命令打印證書的 MD5 指紋。而如果指定了 -v 選項，將以可讀格式打印證書，如果指定了 -rfc 選項，將以可打印的編碼格式輸出證書。
在其可打印的編碼格式中，已編碼證書的起始行是：
-----BEGIN CERTIFICATE-----
結束行是： -----END CERTIFICATE-----
證書鏈
keytool 可創建和管理密鑰倉庫的“密鑰”項，每個密鑰項都含有私鑰和相關證書“鏈”。鏈中的第一個證書含有與私鑰對應的公鑰。
當第一次產生密鑰時（參見 -genkey 命令），鏈中只含有一個元素，即自簽名證書。自簽名證書是一個這樣的證書：其簽發人（簽名人）與主體（證書所認證的公鑰所屬的實體）相同。當調用 -genkey 命令來生成新的公鑰/私鑰對時，它同時也把公鑰打包進自簽名證書中。
之后，當證書簽名請求 (CSR) （參見 -certreq 命令）被生成并送至認證機構 (CA) 后，CA 的答復將被導入（參見 -import），證書鏈將取代自簽名證書。在鏈的底部是認證主體公鑰的 CA 所發放的證書（答復）。鏈中下一個證書是用于認證 CA 公鑰的證書。
在許多情況下，這是個自簽名證書（即來自認證其自身公鑰的 CA 的證書）且是鏈中的最后一個證書。在其它情況下，CA 也許將返回證書鏈。這種情況下，鏈中底部的證書是相同的（由 CA 簽名的證書，對密鑰項的公鑰進行認證），但鏈中第二個證書是由不同的 CA 所簽名的，對您向其發送 CSR 的 CA 的公鑰進行認證。然后，鏈中的下一個證書將是對第二個 CA 的公鑰進行認證的證書，以此類推，直至到達自簽名的“根”證書為止。因此，鏈中的每個證書（從第一個以后）都對鏈中前一個證書的簽名人的公鑰進行認證。
許多 CA 只返回所發放的證書，而不支持鏈，特別是當層次結構較簡單時（無中介 CA）。這種情況下，必須用儲存在密鑰倉庫中的可信任的證書信息來建立證書鏈。
另一種答復格式（由 PKCS#7 標準所定義）除了包含所簽發的證書外，還支持證書鏈。兩種答復格式都可由 keytool 處理。
頂層（根）CA 證書是自簽名的。但是，對根公鑰的信任并非來自根證書本身（任何人都可用特征名來產生自簽名證書！譬如說用 VeriSign 根 CA 的特征名）, 而是來自報紙之類的其它來源。根 CA 的公鑰是廣為人知的。它被儲存在證書中的唯一原因是因為這是大多數工具所能理解的格式，因此這種情況下的證書只是作為一種傳輸根 CA 的公鑰用的“交通工具”。在將根 CA 證書加到您的密鑰倉庫中之前，應該先對它進行查看（用 -printcert 選項）并將所顯示的指紋與已知的指紋（從報紙、根 CA 的網頁等中獲取）進行比較。
導入證書
要從一個文件中導入某個證書，可用 -import 命令，如下所示： ??? keytool -import -alias joe -file jcertfile.cer
此樣本命令導入文件 jcertfile.cer 中的證書并將其存儲在由別名 joe 標識的密鑰倉庫項中。
導入證書的兩個理由如下：
?
- 為將其添加到可信任的證書清單中，或
- 為導入因向 CA 提交證書簽名請求（參見 -certreq 命令）而收到的來自該 CA 的認證答復。
-alias 選項的值指明要進行何種類型的導入。如果數據庫中存在別名，且該別名標識具有私鑰的項，則將假定您要導入認證答復。keytool 將檢查認證答復中的公鑰是否與用別名儲存的私鑰相匹配，如果兩者不同，則程序退出。如果別名標識另一種類型的密鑰倉庫項，則不導入該證書。如果該別名不存在，則它將被創建并與導入的證書關聯。
有關導入可信任證書的警告
重要：將證書作為可信任的證書導入之前，請務必先仔細檢查該證書！
先查看一下（用 -printcert 命令，或用不帶 -noprompt 選項的 -import 命令），確保所顯示的證書指紋與所預計的相匹配。例如，假設某人給您送來或用電子郵件發來一個證書，您將它放在名為 /tmp/cert 的文件中。在將它加到可信任證書的清單中之前，可通過執行 -printcert 命令來查看它的指紋，如下所示：
? keytool -printcert -file /tmp/cert
??? Owner: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll
??? Issuer: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll
??? Serial Number: 59092b34
??? Valid from: Thu Sep 25 18:01:13 PDT 1997 until: Wed Dec 24 17:01:13 PST 1997
??? Certificate Fingerprints:
???????? MD5： 11:81:AD:92:C8:E5:0E:A2:01:2E:D4:7A:D7:5F:07:6F
???????? SHA1: 20:B6:17:FA:EF:E5:55:8A:D0:71:1F:E8:D6:9D:C0:37:13:0E:5E:FE
然后給向您發送證書的人打電話或用其它方式聯系，將您將您所看到的指紋與他們所提供的比較。只有兩者相等才可保證證書在傳送途中沒有被其它人（例如，攻擊者）的證書所更換。如果發生了這樣的攻擊，而您未檢查證書即將其導入，您就會信任攻擊者所簽名的任何東西（例如，一個含有惡意類文件的 JAR 文件）。
注意：并不要求在導入證書前執行 -printcert 命令，因為在將證書添加到密鑰倉庫中可信任證書的清單中之前，-import 命令將會打印出該證書的信息，并提示您進行校驗。這時，您可選擇中止導入操作。但是注意，只有在調用不帶 -noprompt 選項的 -import 命令時才能這樣做。如果給出了 -noprompt 選項，則不存在與用戶的交互
導出證書
要將證書導出到文件中，請用 -export 命令，如下所示： ??? keytool -export -alias jane -file janecertfile.cer
該樣本命令將 jane 的證書導出到文件 janecertfile.cer 中。也就是說，如果 jane 是某個密鑰項的別名，該命令將導出該密鑰倉庫項中所含證書鏈底部的證書。這是認證 jane 的公鑰用的證書。
相反，如果 jane 是某個可信任證書項的別名，則導出的是該可信任的證書。
顯示證書
要打印某個密鑰倉庫項的內容，請用 -list 命令，如下所示： ??? keytool -list -alias joe
如果未指定別名，如下所示： ??? keytool -list
則打印整個密鑰倉庫的內容。
要顯示儲存在文件中的證書的內容，請用 -printcert 命令，如下所示：
??? keytool -printcert -file certfile.cer
這將打印儲存在文件 certfile.cer 中的有關證書的信息。
注意：此操作與密鑰倉庫無關，也就是說，不需要密鑰倉庫即可顯示儲存在文件中的證書。
生成自簽名證書
自簽名證書是一個這樣的證書：其簽發人（簽名人）與主體（證書所認證的公鑰所屬的實體）相同。當調用 -genkey 命令來生成新的公鑰/私鑰對時，它同時也把公鑰打包進自簽名證書中。
有時您也許希望生成新的自簽名證書。例如，您也許想對不同身份（特征名）使用相同的密鑰對。例如，假設您換了個部門。此時您可以：
?
- 復制原始的密鑰項。請參見 -keyclone。
- 用新特征名為該復制項生成新的自簽名證書。參見下文。
- 為該復制項生成證書簽名請求，并導入答復證書或證書鏈。參見 -certreq 和 -import 命令。
- 刪除原始（現在已過時）項。參見 -delete 命令。
要生成自簽名證書，請用 -selfcert 命令，如下所示： ??? keytool -selfcert -alias dukeNew -keypass b92kqmp
????? -dname "cn=Duke Smith, ou=Purchasing, o=BlueSoft, c=US"
所生成的證書作為指定別名（本例中為“dukeNew”）所標識的密鑰倉庫項中的單元素證書來存儲，它將取代現有的證書鏈。