用途：本技能用于构建两级 PKI 证书颁发机构（CA）层级，即离线根 CA 加在线中间 CA，并完成证书签发、吊销与策略管理。适用于部署或配置 CA 能力、建立符合合规要求的安全控制、改进该领域安全架构，以及开展需要此类实现的安全评估。
主要能力：创建自签名根 CA；创建由根 CA 签名的中间 CA；从中间 CA 签发服务器与客户端证书；配置证书吊销列表（CRL）；实现证书策略与约束；以编程方式构建完整 PKI 层级。层级结构为：离线根 CA → 在线中间 CA → 服务器证书、客户端证书、代码签名证书。
关键概念：证书扩展包括 basicConstraints（CA:TRUE/FALSE、pathLenConstraint，关键）、keyUsage（keyCertSign、cRLSign、digitalSignature，关键）、extendedKeyUsage（serverAuth、clientAuth、codeSigning，非关键）、subjectKeyIdentifier、authorityKeyIdentifier、crlDistributionPoints、authorityInfoAccess（OCSP 响应器 URL）。
安全注意事项：根 CA 私钥必须离线存储（气隙 HSM）；CA 密钥至少使用 4096 位 RSA 或 P-384 ECDSA；为中间 CA 设置路径长度约束；实现证书策略（OID）；启用 CRL 与 OCSP 进行吊销检查；审计所有证书签发操作。
前提条件：熟悉密码学概念与工具；可访问测试或实验环境以安全执行；Python 3.8+ 并安装所需依赖；任何测试活动均需获得适当授权。
验证标准：根 CA 自签名证书有效；中间 CA 证书可链至根 CA；签发的证书可链至中间 CA 再到根 CA；路径长度约束得到执行；CRL 已生成且可访问；被吊销证书出现在 CRL 中；证书策略被正确嵌入。
限制：资料未提供具体安装命令、代码示例、收费或价格信息，也未说明支持平台与效果数据，这些内容暂未提供。