公共 CA 与私有 CA 选型
两者的差别在信任范围：公共 CA 的证书默认被全球客户端信任，适合面向公众的服务；私有 CA 由组织自建，签发自由、内网即刻可用，适合内网服务、设备与双向认证，但需要自己分发信任、维护吊销体系并保护根密钥。实际系统常两者并用：对外用公共 CA，对内用私有 CA，并在入口处做证书卸载与再加密。
基本信息
| 公共 CA | 免分发、公众可验证；受基线政策约束，签发有成本与流程 |
|---|---|
| 私有 CA | 内网即刻签发、名称与有效期自定；需自建信任分发与吊销 |
| 混合场景 | 对外公共证书、对内私有 CA，入口做卸载与再加密 |
| 成本视角 | 私有 CA 省证书费用，但增加平台与流程建设投入 |
| 生命周期 | 根保管、中间轮换与吊销分发都要有明确责任人 |
典型使用场景
- 内网服务是否申请公共证书的取舍评估
- 内部系统与设备互信：私有 CA 更容易形成闭环
- 双向认证场景：客户端证书通常由私有 CA 签发
- 微服务内部通信加密：私有 CA 配合证书轮换自动化
- 合规条款要求审计签发流程时，评估自建 PKI 的投入产出
场景判断清单
场景判断清单
访问方是否为公众或未知用户 → 倾向公共 CA
名称是否仅内网可解析 → 倾向私有 CA
是否要求客户端证书双向认证 → 私有 CA 更易闭环
是否有条款要求签发审计 → 按条款落地
# 混合方案：对外公共证书，内网服务用私有 CA，注意入口处的信任链衔接选型对比
| 维度 | 公共 CA | 私有 CA |
|---|---|---|
| 信任范围 | 全球客户端默认可信 | 需自行分发信任 |
| 签发速度 | 受验证流程影响 | 内网即刻签发 |
| 名称灵活性 | 须为可验证的公共名称 | 内网名称可自定义 |
| 运维成本 | 采购与流程成本 | 平台建设与根密钥保护 |
| 典型场景 | 对外站点与 API | 内网服务、设备与 mTLS |
私有 CA 的生命周期管理常被低估：根密钥保管、中间证书轮换、吊销分发与信任库更新都需要明确责任人。只签发不维护，几年后会积累大量无法定位来源的证书，收口成本极高。