pkcs12（.p12/.pfx）是受口令保护的私钥与证书链便携封装格式，非密钥库本身；导入导出需匹配目标密钥库类型（如nss、solaris pktool、java keytool、ibm ikeyman），并明确源文件、密码及目标路径。
PKCS12（.p12 或 .pfx）是一种加密封装格式，把私钥、证书链和可选的根/中间CA证书打包成单个受口令保护的文件。它不是密钥库本身，而是“密钥库内容的便携快照”。所谓“变量密钥库”，实际指目标环境使用的密钥库类型不同（如 NSS 的 cert8.db/key3.db、Solaris 的 PKCS#11 softtoken、Java 的 JKS/PKCS12 keystore、IBM 的 kdb），导入导出需匹配工具链和上下文。
识别并准备源文件与目标密钥库
导入前必须明确两点：源是否为标准 PKCS12 文件（有密码保护，含私钥+证书），目标密钥库类型及位置是否已知。常见组合包括：
- NSS 数据库（如 Web Server、389 Directory Server）→ 使用 pk12util
- Solaris / Oracle 系统密钥库 → 使用 pktool
- Java 应用（Tomcat、WildFly）→ 先转为 JKS 或直接用 keytool 操作 PKCS12
- IBM MQ / HTTP Server → 使用 ikeyman 或 runmqakm
确保你拥有：PKCS12 文件路径、其解密口令（--passin）、目标密钥库路径、目标密钥库访问口令（如 NSS 的 certdb.pass.file、Solaris 的 token PIN）、以及必要时的令牌名（-h token-name）。
使用 pk12util 导入导出 NSS 密钥库
适用于基于 NSS 的服务（如旧版 Apache、Firefox 配置、Red Hat Directory Server）。命令结构统一，关键参数含义清晰：
-
导入：
pk12util -i cert.p12 -d /path/to/alias -k certdb.pass -w p12-pass（-d指向 cert8.db 所在目录；-k是数据库口令文件；-w是 PKCS12 文件口令） -
导入到硬件令牌：
pk12util -i cert.p12 -h "NSS Certificate DB" -d /path/to/alias -k certdb.pass -w p12-pass -
导出指定别名证书：
pk12util -o -n "myserver-cert" -d /path/to/alias -k certdb.pass -w p12-pass（生成新 .p12 文件）
注意：导出时若未指定 -h，默认操作软件令牌；若目标是 HSM 或智能卡，必须显式指定令牌名。
使用 pktool 在 Solaris 系统中操作
Solaris 原生支持 PKCS#11，常用 pktool 管理本地软令牌（keystore=pkcs11）：
-
导入 PKCS12：
pktool import keystore=pkcs11 infile=cert.p12 label="myapp-cert"（执行后会提示输入 PKCS12 口令和 token PIN） -
导出为 PKCS12：
pktool export keystore=pkcs11 outfile=backup.p12 label="myapp-cert"（同样需提供 token PIN，并设置新 PKCS12 口令） - 验证结果：
pktool list可查看已加载的证书标签、指纹和主体信息
该方式不依赖外部数据库路径，所有数据存于系统级 PKCS#11 token 中，适合统一策略管理。
跨平台转换与注意事项
当目标系统要求非 PKCS12 格式（如 Java JKS），需额外转换步骤：
- Java 自带 keytool 支持直接读写 PKCS12：
keytool -importkeystore -srckeystore cert.p12 -srcstoretype PKCS12 -destkeystore app.jks -deststoretype JKS - 若需自动化脚本处理，openHiTLS 的
hitls pkcs12工具更轻量：hitls pkcs12 --export --in cert.pem --inkey key.pem --out cert.p12 --passout pass:changeit - 安全提醒：PKCS12 文件含私钥，传输后应立即删除本地副本；口令切勿与文件同渠道发送（例如邮件发文件+微信发密码）
操作本质是“内容迁移”，而非“格式转换”。只要明确源、目标、口令三要素，工具选择就自然浮现。
