部署從屬/次級CA(Subordinate CA)時的考量

1. 憑證用途

不同從屬CA可依其簽發的憑證類型劃分, 如:

。使用者憑證(User Certificate)w-studio.idv.tw

。伺服器/裝置憑證(Server/Device Certificate)

。程式碼簽章憑證(Code Signing)

。憑證登入(Smart Card Login)

2. 組織部門

。可根據企業內部的不同部門部署多個從屬CA, 如 IT部門、研發部門、人資部門等

。每個部門的 CA可設定專屬的憑證簽發原則與憑證範本

3. 地理位置

。若組織具有多個辦公室或資料中心, 應考慮在各地部署從屬CA: 如台灣、美國、歐洲據點各設一個 CA

。根據位置部署, 可就近服務本地用戶與系統

4. 負載平衡

。若憑證需求量龐大, 可依用途或地區建立多個從屬CA分攤簽發負載

。建構多台發行CA提供簽發服務

5. 備份和容錯

。從屬CA若故障, 憑證無法簽發或驗證

。應規劃定期備份 CA設定、私密金鑰、CA資料庫

。可建立:

--熱備援(Active-Passive): 主從切換

--多台負載平衡(Active-Active): 分流簽發