| 公共 CA | 免分发、公众可验证；受基线政策约束，签发有成本与流程 |
|---|---|
| 私有 CA | 内网即刻签发、名称与有效期自定；需自建信任分发与吊销 |
| 混合场景 | 对外用公共 CA，对内用私有 CA；入口处做证书卸载与再加密 |
| 成本视角 | 私有 CA 省证书费用但增加平台与流程建设投入 |
场景判断清单（示例）
场景判断清单（示例）
访问方是否为公众或未知用户 → 倾向公共 CA
名称是否仅内网可解析 → 倾向私有 CA
是否要求客户端证书双向认证 → 私有 CA 更易闭环
是否有合规条款要求审计签发流程 → 按条款落地私有 CA 的生命周期管理（根保管、中间轮换、吊销）常被低估，立项时应同步规划。