| 三级结构 | 根（离线、多年）→ 策略/中间（受控）→ 签发（在线、较短） |
|---|---|
| 两级结构 | 根 + 签发，适合小规模内部使用 |
| 环境拆分 | 生产、测试、设备各自独立签发 CA，避免交叉影响 |
| 前置定义 | CA 命名、序列号策略与吊销列表管理要提前定好 |
规划检查清单（示例）
规划检查清单（示例）
根私钥保管方式：离线 / HSM / 双人控制
中间证书有效期与轮换窗口
签发 CA 的使用范围与吊销流程
客户端信任库分发渠道（MDM / 配置管理）层级设计在建设期定好，后期调整意味着终端证书重签与信任库更新，成本明显更高。