• -certreq: یک درخواست گواهی (certificate request) تولید می‌کند
• -changealias: نام مستعار (alias) یک مدخل را تغییر می‌دهد
• -delete: یک مدخل را حذف می‌کند
• -exportcert: گواهی را صادر می‌کند
• -genkeypair: یک جفت‌کلید تولید می‌کند
• -genseckey: یک کلید محرمانه (secret key) تولید می‌کند
• -gencert: از روی یک درخواست گواهی، یک گواهی صادر می‌کند
• -importcert: یک گواهی یا زنجیره گواهی را وارد می‌کند
• -importpass: یک گذرواژه را وارد می‌کند
• -importkeystore: یک یا تمام مدخل‌ها را از یک keystore دیگر وارد می‌کند
• -keypasswd: گذرواژه کلید مربوط به یک مدخل را تغییر می‌دهد
• -list: مدخل‌های موجود در یک keystore را فهرست می‌کند
• -printcert: محتوای یک گواهی را چاپ می‌کند
• -printcertreq: محتوای یک درخواست گواهی را چاپ می‌کند
• -printcrl: محتوای یک فایل فهرست ابطال گواهی (CRL) را چاپ می‌کند
• -storepasswd: گذرواژه ذخیره‌گاه (store password) یک keystore را تغییر می‌دهد
• -showinfo: اطلاعات مرتبط با امنیت را نمایش می‌دهد
• -version: نسخه برنامه را چاپ می‌کند برای شرح این دستورها به‌همراه گزینه‌هایشان، Commands and Options را ببینید.

هنگامی که یک دستور -printcert را مشخص می‌کنید، cert_file را با نام واقعی فایل جایگزین کنید، به این صورت: keytool -printcert -file VScert.cer

• {-rfc}: خروجی در قالب استاندارد RFC (درخواست برای نظر)
• {-infile infile}: نام فایل ورودی
• {-outfile outfile}: نام فایل خروجی
• {-alias alias}: نام مستعار مدخل مورد پردازش
• {-sigalg sigalg}: نام الگوریتم امضا
• {-dname dname}: نام متمایز (Distinguished name)
• {-startdate startdate}: تاریخ و زمان آغاز اعتبار گواهی
• {-ext ext}*: افزونه X.509
• {-validity days}: تعداد روزهای اعتبار
• [-keypass arg]: گذرواژه کلید
• {-keystore keystore}: نام مخزن کلید (keystore)
• [-storepass arg]: گذرواژه مخزن کلید (keystore)
• {-storetype type}: نوع مخزن کلید (keystore)
• {-providername name}: نام تأمین‌کننده (Provider)
• {-addprovider name [-providerarg arg]}: افزودن یک تأمین‌کننده امنیتی با نام (مانند SunPKCS11) همراه با یک آرگومان پیکربندی اختیاری. مقدار تأمین‌کننده امنیتی، نام یک تأمین‌کننده امنیتی است که در یک ماژول تعریف شده است.

•

{-providerclass class [-providerarg arg]}: افزودن تأمین‌کننده امنیتی با نام کامل کلاس (fully qualified class name) همراه با یک آرگومان پیکربندی اختیاری.

• {-providerpath list}: مسیر کلاس (classpath) تأمین‌کننده
• {-v}: خروجی با جزئیات (پُرگو)
• {-protected}: گذرواژه از طریق یک سازوکار محافظت‌شده ارائه می‌شود از دستور -gencert برای تولید گواهی در پاسخ به یک فایل درخواست گواهی (که می‌تواند با دستور keytool -certreq ایجاد شود) استفاده کنید. این دستور درخواست را از infile یا در صورت حذف آن، از ورودی استاندارد می‌خواند، آن را با استفاده از کلید خصوصی نام مستعار (alias) امضا می‌کند، و گواهی X.509 را در outfile یا در صورت حذف آن، در خروجی استاندارد قرار می‌دهد. هنگامی که -rfc مشخص شده باشد، قالب خروجی PEM کدگذاری‌شده به صورت Base64 خواهد بود؛ در غیر این صورت، یک خروجی دودویی DER ایجاد می‌شود. مقدار -sigalg الگوریتمی را مشخص می‌کند که باید برای امضای گواهی استفاده شود. آرگومان startdate زمان و تاریخ آغاز اعتبار گواهی است. آرگومان days بیانگر تعداد روزهایی است که گواهی باید معتبر در نظر گرفته شود. هنگامی که dname ارائه شود، به عنوان موضوع (subject) گواهی تولیدشده استفاده می‌شود. در غیر این صورت، مقدار موجود در درخواست گواهی به کار می‌رود. مقدار -ext نشان می‌دهد چه افزونه‌های X.509 در گواهی تعبیه خواهند شد. برای آگاهی از قواعد نگارشی -ext، بخش گزینه‌های مشترک دستورات (Common Command Options) را مطالعه کنید. گزینه -gencert این امکان را به شما می‌دهد که زنجیره‌های گواهی (certificate chains) ایجاد کنید. مثال زیر گواهی e1 را ایجاد می‌کند که شامل سه گواهی در زنجیره گواهی خود است. دستورهای زیر چهار جفت‌کلید به نام‌های ca، ca1، ca2 و e1 ایجاد می‌کنند:

keytool -alias ca -dname CN=CA -genkeypair -keyalg rsa
keytool -alias ca1 -dname CN=CA -genkeypair -keyalg rsa
keytool -alias ca2 -dname CN=CA -genkeypair -keyalg rsa
keytool -alias e1 -dname CN=E1 -genkeypair -keyalg rsa

دو دستور زیر یک زنجیره از گواهی‌های امضاشده ایجاد می‌کنند؛ ca گواهی ca1 را امضا کرده و ca1 گواهی ca2 را امضا می‌کند، که همگی خودصادرشده (self-issued) هستند:

keytool -alias ca1 -certreq |
    keytool -alias ca -gencert -ext san=dns:ca1 |
    keytool -alias ca1 -importcert
keytool -alias ca2 -certreq |
    keytool -alias ca1 -gencert -ext san=dns:ca2 |
    keytool -alias ca2 -importcert

دستور زیر گواهی e1 را ایجاد کرده و آن را در فایل e1.cert ذخیره می‌کند که توسط ca2 امضا شده است. در نتیجه، e1 باید شامل ca، ca1 و ca2 در زنجیره گواهی خود باشد:

• {-alias alias}: نام مستعار مدخل مورد پردازش
• -keyalg alg: نام الگوریتم کلید
• {-keysize size}: اندازه کلید بر حسب بیت
• {-groupname name}: نام گروه. برای نمونه، نام یک منحنی بیضوی (Elliptic Curve).
• {-sigalg alg}: نام الگوریتم امضا
• {-signer alias}: نام مستعار امضاکننده
• [-signerkeypass arg]: گذرواژه کلید امضاکننده
• [-dname name]: نام متمایز (Distinguished name)
• {-startdate date}: تاریخ و زمان آغاز اعتبار گواهی
• {-ext value}*: افزونه X.509
• {-validity days}: تعداد روزهای اعتبار
• [-keypass arg]: گذرواژه کلید
• {-keystore keystore}: نام مخزن کلید (keystore)
• [-storepass arg]: گذرواژه مخزن کلید (keystore)
• {-storetype type}: نوع مخزن کلید (keystore)
• {-providername name}: نام تأمین‌کننده (Provider)
• {-addprovider name [-providerarg arg]}: افزودن تأمین‌کننده امنیتی با نام (مانند SunPKCS11) همراه با یک آرگومان پیکربندی اختیاری..IP • 2 {-providerclass class [-providerarg arg] }: افزودن ارائه‌دهندهٔ امنیتی با نام کامل کلاس (fully qualified class name) به همراه یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس (classpath) ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق یک سازوکار محافظت‌شده ارائه می‌شود از دستور -genkeypair برای تولید یک جفت‌کلید (یک کلید عمومی و کلید خصوصی مرتبط با آن) استفاده کنید. هنگامی که گزینهٔ -signer مشخص نشده باشد، کلید عمومی در یک گواهی خودامضا (self-signed) از نوع X.509 v3 قرار گرفته و به عنوان یک زنجیرهٔ گواهی تک‌عنصری ذخیره می‌شود. هنگامی که گزینهٔ -signer مشخص شده باشد، گواهی جدیدی تولید شده و توسط امضاکنندهٔ تعیین‌شده امضا می‌شود و به عنوان یک زنجیرهٔ گواهی چندعنصری (شامل خود گواهی تولیدشده و زنجیرهٔ گواهی امضاکننده) ذخیره می‌گردد. زنجیرهٔ گواهی و کلید خصوصی در یک مدخل جدید در keystore که با نام مستعار (alias) آن مشخص می‌شود، ذخیره می‌گردند. مقدار -keyalg الگوریتمی را که باید برای تولید جفت‌کلید استفاده شود مشخص می‌کند. مقدار -keysize اندازهٔ هر کلید تولیدی را مشخص می‌کند. مقدار -groupname گروه نام‌گذاری‌شدهٔ (به عنوان مثال، نام استاندارد یا از پیش تعریف‌شدهٔ یک منحنی بیضوی) کلید تولیدی را مشخص می‌کند. هنگامی که مقدار -keysize ارائه شود، از آن برای مقداردهی اولیهٔ شیء KeyPairGenerator با استفاده از متد initialize(int keysize) استفاده خواهد شد. هنگامی که مقدار -groupname ارائه شود، از آن برای مقداردهی اولیهٔ شیء KeyPairGenerator با استفاده از متد initialize(AlgorithmParameterSpec params) استفاده خواهد شد که در آن params همان new NamedParameterSpec(groupname) است. تنها یکی از دو گزینهٔ -groupname و -keysize را می‌توان مشخص کرد. اگر الگوریتمی دارای چند گروه نام‌گذاری‌شده با اندازهٔ کلید یکسان باشد، معمولاً باید از گزینهٔ -groupname استفاده شود. در این حالت، اگر -keysize مشخص شده باشد، تعیین اینکه هنگام تولید جفت‌کلید کدام گروه نام‌گذاری‌شده انتخاب شود به ارائه‌دهندهٔ امنیتی واگذار می‌شود. مقدار -sigalg الگوریتمی را که باید برای امضای گواهی استفاده شود مشخص می‌کند. این الگوریتم باید با مقدار -keyalg سازگار باشد. مقدار -signer نام مستعار (alias) یک PrivateKeyEntry را برای امضاکننده‌ای که از قبل در keystore وجود دارد مشخص می‌کند. این گزینه برای امضای گواهی با کلید خصوصی امضاکننده استفاده می‌شود. این ویژگی به‌ویژه برای الگوریتم‌های توافق کلید (یعنی زمانی که مقدار -keyalg برابر با XDH، X25519، X448 یا DH باشد) مفید است، زیرا این کلیدها نمی‌توانند برای امضاهای دیجیتال استفاده شوند و بنابراین امکان ایجاد یک گواهی خودامضا (self-signed) وجود ندارد. مقدار -signerkeypass گذرواژهٔ کلید خصوصی امضاکننده را مشخص می‌کند. اگر کلید خصوصی مدخل امضاکننده با گذرواژه‌ای متفاوت از گذرواژهٔ مخزن (store password) محافظت شده باشد، می‌توان آن را مشخص کرد. مقدار -dname نام متمایز (Distinguished Name) استاندارد X.500 را که باید با مقدار -alias مرتبط شود مشخص می‌کند. اگر گزینهٔ -signer مشخص نشده باشد، فیلدهای صادرکننده (issuer) و موضوع (subject) در گواهی خودامضا با نام متمایز مشخص‌شده مقداردهی می‌شوند. اگر گزینهٔ -signer مشخص شده باشد، فیلد موضوع (subject) گواهی با نام متمایز مشخص‌شده مقداردهی می‌شود و فیلد صادرکننده (issuer) با فیلد موضوع گواهیِ امضاکننده پر می‌گردد. اگر نام متمایز در خط فرمان ارائه نشود، از کاربر خواسته می‌شود تا آن را وارد کند. مقدار -keypass گذرواژه‌ای است که برای محافظت از کلید خصوصی جفت‌کلید تولیدشده استفاده می‌شود. اگر گذرواژه‌ای ارائه نشود، از کاربر خواسته می‌شود تا آن را وارد کند. اگر هنگام نمایش اعلان (prompt) کلید Return را فشار دهید، گذرواژهٔ کلید با گذرواژهٔ keystore یکسان تنظیم می‌شود. مقدار -keypass باید حداقل دارای شش نویسه باشد. مقدار -startdate زمان صدور گواهی را مشخص می‌کند که با عنوان مقدار "Not Before" در فیلد Validity گواهی X.509 نیز شناخته می‌شود. مقدار این گزینه می‌تواند در یکی از این دو قالب تنظیم شود: ([+-]nnn[ymdHMS])+ [yyyy/mm/dd] [HH:MM:SS] در قالب اول، زمان صدور به اندازهٔ مقدار مشخص‌شده نسبت به زمان کنونی جابه‌جا می‌شود. این مقدار، ترکیبی متوالی (الحاق) از دنباله‌ای از زیرمقدارها است. درون هر زیرمقدار، علامت بعلاوه (+) به معنای جابه‌جایی رو به جلو، و علامت منها (-) به معنای جابه‌جایی رو به عقب است. مدت زمان جابه‌جایی شامل nnn واحد از سال، ماه، روز، ساعت، دقیقه یا ثانیه است (که به ترتیب با تک‌نویسه‌های y، m، d، H، M یا S نشان داده می‌شوند). مقدار دقیق زمان صدور با استفاده از متد java.util.GregorianCalendar.add(int field, int amount) روی هر زیرمقدار، از چپ به راست محاسبه می‌شود. برای مثال، زمان صدور می‌تواند به این شکل مشخص شود:

Calendar c = new GregorianCalendar();
c.add(Calendar.YEAR, -1);
c.add(Calendar.MONTH, 1);
c.add(Calendar.DATE, -1);
return c.getTime()

در قالب دوم، کاربر زمان دقیق صدور را در دو بخش مشخص می‌کند: سال/ماه/روز و ساعت:دقیقه:ثانیه (با استفاده از منطقهٔ زمانی محلی). کاربر می‌تواند تنها یک بخش را ارائه دهد که بدین معنی است که بخش دیگر برابر با تاریخ (یا زمان) جاری خواهد بود. کاربر باید تعداد ارقام را دقیقاً مطابق با تعریف قالب ارائه دهد (در صورت کوتاه‌تر بودن، با 0 پر شود). هنگامی که هم تاریخ و هم زمان ارائه شوند، دقیقاً یک (و فقط یک) نویسهٔ فاصله بین دو بخش قرار می‌گیرد. ساعت همیشه باید در قالب ۲۴ ساعته ارائه شود. هنگامی که این گزینه ارائه نشود، تاریخ شروع برابر با زمان فعلی خواهد بود. این گزینه تنها یک بار قابل ارائه است. مقدار date تعداد روزهایی را مشخص می‌کند (با شروع از تاریخی که توسط -startdate مشخص شده، یا تاریخ جاری هنگامی که -startdate مشخص نشده باشد) که گواهی باید معتبر در نظر گرفته شود.

• {-alias alias}: نام مستعار مدخل جهت پردازش
• [-keypass arg]: گذرواژهٔ کلید
• -keyalg alg: نام الگوریتم کلید
• {-keysize size}: اندازهٔ بیتی کلید
• {-keystore keystore}: نام keystore
• [-storepass arg]: گذرواژهٔ keystore
• {-storetype type}: نوع keystore
• {-providername name}: نام ارائه‌دهنده
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهندهٔ امنیتی با نام (مانند SunPKCS11) به همراه یک آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهندهٔ امنیتی با نام کامل کلاس به همراه یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس (classpath) ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق یک سازوکار محافظت‌شده ارائه می‌شود از دستور -genseckey برای تولید یک کلید مخفی (secret key) و ذخیرهٔ آن در یک KeyStore.SecretKeyEntry جدید با نام مستعار alias استفاده کنید. مقدار -keyalg الگوریتم مورد استفاده برای تولید کلید مخفی را مشخص کرده و مقدار -keysize اندازهٔ کلید تولیدشده را تعیین می‌کند. مقدار -keypass گذرواژه‌ای است که از کلید مخفی محافظت می‌کند. اگر گذرواژه‌ای ارائه نشود، از کاربر خواسته می‌شود تا آن را وارد کند. اگر هنگام نمایش اعلان کلید Return را فشار دهید، گذرواژهٔ کلید با گذرواژهٔ مورد استفاده برای -keystore یکسان تنظیم می‌شود. مقدار -keypass باید حداقل دارای شش نویسه باشد.

• {-noprompt}: بدون نمایش اعلان
• {-trustcacerts}: اعتماد به گواهی‌های موجود در cacerts.IP • 2 {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود
• {-alias alias}: نام مستعار مدخل جهت پردازش
• {-file file}: نام فایل ورودی
• [-keypass arg]: گذرواژه کلید
• {-keystore keystore}: نام keystore
• {-cacerts}: دسترسی به keystore مربوط به cacerts
• [-storepass arg]: گذرواژه keystore
• {-storetype type}: نوع keystore
• {-providername name}: نام ارائه‌دهنده
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیتی با نام (مانند SunPKCS11) با یک آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیتی با نام کامل کلاس با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس (classpath) ارائه‌دهنده
• {-v}: خروجی پرجزئیات از دستور -importcert برای خواندن گواهی یا زنجیره گواهی (که دومی در قالب یک پاسخ با فرمت PKCS#7 یا در توالی‌ای از گواهی‌های X.509 ارائه می‌شود) از -file file، و ذخیره آن در مدخل keystore شناسایی‌شده با -alias استفاده کنید. اگر -file file مشخص نشده باشد، گواهی یا زنجیره گواهی از stdin خوانده می‌شود. دستور keytool می‌تواند گواهی‌های X.509 نسخه v1، v2 و v3 و همچنین زنجیره‌های گواهی با فرمت PKCS#7 متشکل از گواهی‌هایی از این نوع را وارد کند. داده‌هایی که باید وارد شوند باید یا در قالب کدگذاری دودویی و یا در قالب کدگذاری قابل‌چاپ (که با نام کدگذاری Base64 نیز شناخته می‌شود) طبق تعریف استاندارد اینترنتی RFC 1421 ارائه شوند. در حالت دوم، کدگذاری باید در ابتدا توسط رشته‌ای که با -----BEGIN شروع می‌شود و در انتها توسط رشته‌ای که با -----END شروع می‌شود، محدود شده باشد. شما به دو دلیل یک گواهی را وارد می‌کنید: برای افزودن آن به فهرست گواهی‌های مورد اعتماد، و برای وارد کردن پاسخ گواهی دریافت شده از یک مرجع صدور گواهی (CA) در نتیجه ارسال یک درخواست امضای گواهی (CSR) به آن CA. دستور -certreq را در Commands for Generating a Certificate Request ببینید. نوع واردسازی بر اساس مقدار گزینه -alias مشخص می‌شود. اگر نام مستعار به یک مدخل کلید اشاره نکند، دستور keytool فرض می‌کند که شما در حال افزودن یک مدخل گواهی مورد اعتماد هستید. در این حالت، نام مستعار نباید از قبل در keystore وجود داشته باشد. اگر نام مستعار وجود داشته باشد، دستور keytool خطایی صادر می‌کند زیرا یک گواهی مورد اعتماد از قبل برای آن نام مستعار وجود دارد، و گواهی را وارد نمی‌کند. اگر -alias به یک مدخل کلید اشاره کند، دستور keytool فرض می‌کند که در حال وارد کردن یک پاسخ گواهی هستید.

• {-alias alias}: نام مستعار مدخل جهت پردازش
• [-keypass arg]: گذرواژه کلید
• {-keyalg alg}: نام الگوریتم کلید
• {-keysize size}: اندازه کلید بر حسب بیت
• {-keystore keystore}: نام keystore
• [-storepass arg]: گذرواژه keystore
• {-storetype type}: نوع keystore
• {-providername name}: نام ارائه‌دهنده
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیتی با نام (مانند SunPKCS11) با یک آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیتی با نام کامل کلاس با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس (classpath) ارائه‌دهنده
• {-v}: خروجی پرجزئیات
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود از دستور -importpass برای وارد کردن یک عبارت عبور (passphrase) و ذخیره آن در یک KeyStore.SecretKeyEntry جدید با نام مستعار -alias استفاده کنید. عبارت عبور ممکن است از طریق جریان ورودی استاندارد ارائه شود؛ در غیر این صورت از کاربر درخواست می‌شود آن را وارد کند. گزینه -keypass گذرواژه‌ای را برای محافظت از عبارت عبور واردشده تعیین می‌کند. اگر گذرواژه‌ای ارائه نشود، از کاربر خواسته می‌شود آن را وارد کند. اگر در اعلان کلید Return را فشار دهید، گذرواژه کلید بر روی همان گذرواژه‌ای تنظیم می‌شود که برای keystore استفاده شده است. مقدار -keypass باید حداقل شامل شش نویسه باشد.

-importkeystore

گزینه‌های دردسترس برای دستور -importkeystore عبارتند از:

• {-rfc}: خروجی به سبک RFC
• {-alias alias}: نام مستعار مدخل برای پردازش
• {-file file}: نام فایل خروجی
• {-keystore keystore}: نام keystore
• {-cacerts}: دسترسی به keystore مربوط به cacerts
• [-storepass arg]: گذرواژه keystore
• {-storetype type}: نوع keystore
• {-providername name}: نام ارائه‌دهنده (provider)
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیتی بر اساس نام (مانند SunPKCS11) به‌همراه یک آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg] }: افزودن ارائه‌دهنده امنیتی با نام کامل کلاس به‌همراه یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس (classpath) ارائه‌دهنده
• {-v}: خروجی پرگو (verbose)
• {-protected}: گذرواژه از طریق سازوکاری حفاظت‌شده ارائه می‌شود از دستور -exportcert برای خواندن یک گواهی از keystore که مرتبط با -alias alias است و ذخیره آن در -file file استفاده کنید. هنگامی که فایلی مشخص نشود، گواهی در stdout خروجی داده می‌شود. به‌طور پیش‌فرض، گواهی در کدگذاری باینری خروجی داده می‌شود. اگر گزینه -rfc مشخص شود، خروجی در قالب کدگذاری قابل‌چاپ تعریف‌شده توسط استاندارد کدگذاری گواهی اینترنت RFC 1421 خواهد بود. اگر -alias به یک گواهی معتمد (trusted certificate) اشاره کند، آن گواهی خروجی داده می‌شود. در غیر این صورت، -alias به یک مدخل کلید به‌همراه زنجیره گواهی مرتبط با آن اشاره می‌کند. در این حالت، نخستین گواهی در زنجیره بازگردانده می‌شود. این گواهی کلید عمومی نهادی را که توسط -alias مشخص شده احراز هویت می‌کند.

-list

گزینه‌های دردسترس برای دستور -list عبارتند از:

-printcert

گزینه‌های دردسترس برای دستور -printcert عبارتند از:

-printcertreq

گزینه‌های دردسترس برای دستور -printcertreq عبارتند از:

-printcrl

گزینه‌های دردسترس برای دستور -printcrl عبارتند از:

• env: بازیابی گذرواژه از متغیر محیطی با نام argument.
• file: بازیابی گذرواژه از فایل با نام argument. نکته: همهٔ گزینه‌های دیگری که به گذرواژه نیاز دارند، مانند -keypass، -srckeypass، -destkeypass، -srcstorepass و -deststorepass نیز اصلاح‌کننده‌های env و file را می‌پذیرند. به یاد داشته باشید که گزینهٔ گذرواژه و اصلاح‌کننده را با یک دونقطه (:) از یکدیگر جدا کنید. گذرواژه باید برای تمام دستورهایی که به محتویات keystore دسترسی دارند ارائه شود. برای چنین دستورهایی، هنگامی که گزینهٔ -storepass در خط فرمان مشخص نشده باشد، از کاربر پرسیده خواهد شد. هنگام بازیابی اطلاعات از keystore، ارائهٔ گذرواژه اختیاری است. اگر گذرواژه‌ای مشخص نشود، یکپارچگی اطلاعات بازیابی‌شده قابل تأیید نخواهد بود و یک هشدار نمایش داده می‌شود.

keytool -keystore ~/ks -v -list

keytool -keystore ~/ks -keyalg rsa -genkeypair -alias me

keytool -keystore ~/ks -keyalg rsa -genkeypair -alias you -keyalg ec

keytool -keystore ~/ks -genkeypair -alias you -keyalg ec