用途：该技能是 Infisical 证书管理（PKI）的设置助手，帮助用户在 Infisical 上运行 X.509 证书基础设施，包括搭建证书颁发机构（CA）、签发与续期证书，以及把证书分发到终止 TLS 的系统。证书管理是独立于密钥管理的产品，使用自己的项目类型（cert-manager）和对象模型。
对象模型：CA（内部或外部，负责签名）加证书策略（约束密钥算法、密钥用途、TTL 边界、主题规则）组成证书配置文件（可复用模板），配置文件被应用（代表一个服务或工作负载，负责注册方式、清单、告警、审批和证书同步）消费，最终签发叶子证书，状态为 active、expired 或 revoked。签发证书通常经由应用加配置文件，而非直接对 CA 操作。
使用步骤：确定信任来源（内部 CA 或已有外部 CA）；创建 CA（内部需先根后中间）；定义策略与配置文件；为消费服务创建应用；按客户端支持选择注册方式（API、ACME、EST、SCEP）；配置续期与告警；如需落到特定位置则添加 PKI 同步。
参考文件：certificate-authorities.md（9 种 CA 类型、内部根/中间层级、CA 续期、CRL 分发、HSM）、issuance-and-enrollment.md（应用、策略、配置文件、4 种注册方式、密钥算法含 PQC、密钥用途、生命周期）、pki-syncs-and-distribution.md（12 种 PKI 同步、告警、证书发现）、code-signing.md（代码签名证书、签名器、PKCS#11 模块、Windows KSP）。
限制与注意：不要臆造枚举值，如 ECDSA P-256 的线上值为 EC_prime256v1；密钥用途为 camelCase，扩展密钥用途有 snake_case 与旧 camelCase 两种形式。内部 CA 需先有根才能建中间，处于 pending-certificate 状态的 CA 无证书、不能签发。注册方式应匹配客户端：Web 服务器与 cert-manager 用 ACME，网络设备与 IoT 用 EST，旧 MDM 与 Windows 用 SCEP，可控环境用 API。外部 CA 需要 App Connection，内部 CA 通常还需 Gateway。ACME/EST/SCEP 流程中私钥由客户端生成，Infisical 只看到 CSR。内部 CA 可选 ML-DSA 与 SLH-DSA 后量子算法。SSH 证书属于 SSH 动态密钥，不属于本产品。