用途：设计证书的签发、分发与生命周期，适用于 Entra 抗钓鱼证书认证（CBA）、服务 TLS/mTLS、设备身份（Wi-Fi 802.1x、VPN）、代码签名、S/MIME 等场景。核心问题是“证书从哪来、如何续期”，而非“如何存储某个机密”。不适用于 Key Vault 机密/密钥（azure-key-vault）或 Entra ID 模型（entra-id）。
主要能力与做法：
- 选择 CA 策略：互联网 TLS 用公共 CA；内部应用 TLS、mTLS 用内部签发 CA；Entra CBA 用发布到 Entra 信任存储的内部 CA；设备身份用 AD CS 或第三方 PKI 配合 Intune SCEP/PKCS；代码签名用公共 CA 的 EV 证书；S/MIME 用第三方公共 CA；Kubernetes 短周期工作负载证书用 cert-manager。切勿内部规模场景用公共 CA，也别让私有 CA 服务互联网。
- 设计 CA 层级：离线根 CA + 一个或多个在线签发 CA。根签发签发 CA 证书（10-20 年），签发 CA 签发终端实体证书（1-2 年）。根 CA 主机除 CRL 签名和签发 CA 续期外应关机或气隙。
- HSM 保护密钥：根 CA 私钥放 HSM（FIPS 140-2 Level 2+），云上用 Azure Managed HSM。验证命令：certutil -getreg ca\CSP\Provider 应显示 HSM 提供程序。
- Key Vault 存储与生命周期：服务证书用 Azure Key Vault certificates，接入支持的发证 CA 自动续期，lifetime_actions 设为生命周期的 75% 自动续期。
- 自动注册：域成员经 GPO 使用 AD CS 自动注册；云托管设备用 Intune SCEP/PKCS 连接器。不要邮件发送 PFX。
- 吊销规划：CRL 发布到 HTTP 端点，OCSP 提供实时查询；两者高可用，CRL 端点用 CDN。
- 到期监控：Key Vault 事件流到仪表盘；AD CS 定期运行 certutil -view；跟踪 90/60/30/7 天，提前 60 天告警。
- 轮换纪律：签发票前就规划轮换，服务团队负责续期自动化，PKI 团队负责 CA 与告警基础设施。
限制与护栏：根 CA 必须离线；签发 CA 密钥必须用 HSM；不得让生产证书静默过期；依赖证书前先规划吊销；互联网 TLS 必须公共 CA；不要跨安全域用通配符证书；代码签名密钥用硬件令牌。
常见反模式包括邮件发送 PFX、根 CA 在线、软件 CSP 存签发 CA 密钥、终端证书 5 年有效期、CRL 单机内网部署、先发证书后做监控、所有环境共用同一证书。官方参考含 Key Vault 证书、Managed HSM、Entra CBA、Intune 证书配置、AD CS 设计等 Microsoft Learn 链接。