用途：为 WendyOS 设备提供 pki-core 注册与证书生命周期管理的专家指导，适用于设备入网、证书续期和过期后恢复等场景。
主要能力与原则：Wendy 不自造硬件，首次接触的信任根来自操作员刷入 Wendy 构建的 OS 镜像并完成注册；设备自行生成密钥对（SoC 支持时由硬件背书），私钥永不离开设备。三条不可破规则：平台 Root 预置于镜像，禁止首次使用即信任；过期证书不能直接续期前滚，必须提供有效证书或再认证/操作员授权；可信时间在注册时播种且必须安全失败。
使用方式：在线场景由操作员在装系统时申请注册令牌，云将签名请求转给 pki-core，签发绑定设备与租户的一次性令牌；离线/气隙场景在首次启动时连接操作员 PC，设备发出 CSR（私钥不离开），操作员携带签名请求到云端获取授权。续期通过 ACME/EST 自动无人值守完成，并对被禁用/注销/吊销设备做在途拒绝检查；需要更长有效期的设备可通过四眼审批获得，审批一次后每次续期继承，仍受租户策略与平台上限约束。
限制与依赖：任何互操作变更须先咨询 wendy-self-hosted 技能，保持自托管路径可用，仅 SaaS 功能视为不完整。本技能提炼自 AAA Contract v0.21，以 Linear 中契约版本为准。相关技能包括 wendy-aaa-interop、wendy-certificates、wendy-device-interop 与 wendy-self-hosted。