CA 层级设计
CA 层级决定信任链的长度与管控粒度。常见三级结构是：离线根（多年有效期、极少数人可操作）→ 受控策略 CA → 在线签发 CA；规模较小的内部 PKI 也可以只用两级（根加签发）。层级越多，权限切分越细、根密钥暴露面越小，但链条更长、运维与排障成本更高。因此内部 PKI 常按环境拆分签发 CA，让生产、测试与设备互不影响。
基本信息
| 三级结构 | 根（离线、多年）→ 策略与中间（受控）→ 签发（在线、较短） |
|---|---|
| 两级结构 | 根加签发，适合小规模内部使用 |
| 环境拆分 | 生产、测试、设备各自独立签发 CA，避免交叉影响 |
| 前置定义 | CA 命名规则、序列号策略与吊销列表管理方式要提前定好 |
| 根密钥保护 | 离线保管、HSM 承载、双人控制 |
典型使用场景
- 建设内部 PKI 时确定层级与职责划分
- 评估根证书是否需要离线：涉及根密钥暴露面与操作流程
- 排查证书链过长导致的兼容问题（部分设备限制链深度）
- 规划测试环境：用独立 CA 避免与生产信任边界混用
- 审计与合规：证明根密钥操作有双人参与并留下记录
规划检查清单
规划检查清单
根私钥保管方式：离线 / HSM / 双人控制
中间证书有效期与轮换窗口：预留足够的重签时间
签发 CA 的使用范围：按环境或业务域拆分
客户端信任库分发渠道：MDM、配置管理或镜像内置
吊销流程：谁有权吊销、多久内完成分发层级结构对比
| 结构 | 管控粒度 | 代价 |
|---|---|---|
| 两级 | 根直接签发 | 运维简单，根暴露面较大 |
| 三级 | 根离线、中间受控、签发在线 | 链条长，排障与轮换更复杂 |
| 按环境拆分 | 生产测试互不影响 | 需维护多套信任库 |
| 按设备拆分 | 设备与用户证书隔离 | CA 数量增加，管理成本上升 |
层级设计最好在建设期定好：后期调整意味着终端证书重签与信任库更新，成本远高于一开始就规划清楚。把「谁是根、谁能签发、如何吊销、怎么分发信任」这四件事写进设计文档，后续扩展会顺畅很多。