用途：管理 CockroachDB 集群的 TLS 证书，包括 CA 证书下载、客户端证书认证（mTLS）配置、证书轮换与续期，以及排查应用客户端（DBeaver、TypeORM、psql、Go、Python、Java）的 SSL/TLS 连接错误；也支持为 CDC changefeed 到 Kafka 配置 mTLS。
主要能力：区分 CockroachDB Cloud（TLS 始终开启，集群 CA 由 Cockroach Labs 管理）与自托管（手动管理 CA、节点和客户端证书）两种部署模型。Cloud 侧可下载 CA 证书、上传自定义 Client CA、签发客户端证书并轮换；自托管侧可用 cockroach cert 创建 CA、节点与客户端证书，并通过 SIGHUP 重载证书实现无停机轮换。
必要用法：Cloud 需先 ccloud auth login，验证用 ccloud auth whoami 与 ccloud cluster list；下载 CA 用 ccloud cluster cert <cluster-id>，上传 Client CA 用 ccloud cluster cert set-client-ca <cluster-id> --cert-file <client-ca.crt>。自托管用 cockroach cert create-ca、create-node、create-client，检查用 cockroach cert list --certs-dir=<certs-directory>，重载用 kill -SIGHUP $(pgrep cockroach)。诊断可用 openssl x509、openssl verify、openssl s_client。
适用场景：Cloud 客户端证书认证、自定义 Client CA 上传、证书轮换、自托管证书生命周期管理、CDC 到 Kafka 的 mTLS、SSL/TLS 错误排查。
限制与注意：Client CA 移除影响大，会使该 CA 签发的所有客户端证书失效；证书过期影响高，需在到期前轮换；不要删除 CA 私钥、不要上传过期 CA、不要在生产集群禁用 TLS（Cloud 不允许）。Cloud 集群 CA 由 Cockroach Labs 自动轮换，如需干预需联系支持。具体客户端连接串与完整错误清单见技能参考文档，资料未提供更多细节。