用途：step-ca 是 Smallstep 提供的私有证书颁发机构（CA）服务端，配套 step 命令行客户端，用于在内部环境签发、续期和吊销 TLS 证书，并支持 ACME 协议。
主要能力：初始化新 CA（step ca init）；前台或 systemd 启动服务（step-ca $(step path)/config/ca.json、systemctl start step-ca）；签发证书（step ca certificate myhost.local myhost.crt myhost.key，可用 --san 添加 SAN）；手动或守护进程续期（step ca renew、step ca renew --daemon）；吊销与查看证书（step ca revoke、step certificate inspect）；管理 provisioner（list/add，类型含 ACME、JWK、OIDC）；客户端引导（step ca bootstrap --ca-url ... --fingerprint ...）；获取根指纹与安装根证书（step certificate fingerprint、step certificate install）。
配置与状态：配置文件通常为 $(step path)/config/ca.json，根证书与中间证书位于 $(step path)/certs/，默认端口 9000，日志用 journalctl -u step-ca 查看。健康检查可访问 https://localhost:9000/health 或运行 step ca health。
限制与注意：根 CA 信任不会自动分发，需在每个客户端显式安装，应用级信任库（Java、Python、Firefox 等）需单独处理；ACME 默认证书有效期仅 24 小时，必须从第一天起配置自动续期；bootstrap 是逐主机操作，无网络可发现的默认值；ACME provisioner 仍需在 CA 服务端保存 provisioner 密码。Caddy 在完成 bootstrap 并设置 acme_ca 后可零配置自动签发与续期。
适用场景：内部服务 mTLS、SSH CA、私有 ACME 签发及需要自建 CA 的零信任环境。