聚焦簽發 CA（Issuing CA）的工程化落地：硬件規劃、高可用架構決策、HSM 私鑰保護、作業系統/物理/審計/委派四維安全加固，構建「可信、可審、可恢復」的 PKI 核心引擎。

簽發 CA 硬件規範：性能瓶頸通常在 AD 交互與磁盤子系統

• 基準線：參照同環境域控制器硬件規格（CPU/內存/網絡/存儲）。
• 存儲分層（關鍵）：
  • RAID 1 (OS) + RAID 1 (CA 數據庫) + RAID 1 (CA 日志) —— 三卷分離，性能與恢復力雙贏。
  • 或：NVMe OS + 獨立 SAS/SATA RAID 1 (DB+Log 分離卷)。
• 網絡冗余：NIC Teaming (LACP/Switch Independent) 雙路以上。
• HSM 選項：nCipher/nShield、Thales Luna、Utimaco、AWS CloudHSM / Azure Dedicated HSM（雲上 CA）。提供 FIPS 140-2 Level 3、多智能卡分控備份/導出、密碼運算卸載。

高可用架構：單 CA 足矣，除非註冊/續訂不可用成本極高

服務	可用性要求	多 CA 價值	決策依據
新憑證註冊	中（新用戶/設備入網阻塞）	中	評估「備份恢復時間 (RTO)」vs「業務容忍停機時間 (RPO)」。多數組織 RTO<RPO，單 CA+完善備份足夠。
憑證續訂	低（提前 6 周自動續訂，RTO 以小時計）	低	自動續訂窗口極長，單 CA 無壓力。
吊銷/發布 CRL	高（CRL 過期即驗證失效）	低	CRL 唯一性，多 CA 不共享 CRL。重點做：CRL 發布點多 CDP (HTTP+LDAP)、重簽延長 CRL 有效期、OCSP Responder 叢集。
CA 憑證續訂	極高（根/策略 CA 離線簽發）	無	僅父 CA 可簽發，提前 6 倍有效期啟動續訂流程。

結論：本方案採用單簽發 CA + 完善備份恢複演練 + 多 CDP/OCSP 高可用，不為性能/可用性引入多 CA 複雜度。安全/策略隔離需求（如內部/外部/代碼簽名分離）另論。

HSM 私鑰保護：從「軟件信任」升級為「硬件信任錨」

• 威脅模型：本地 Administrators/Backup Operators 可導出軟件存儲私鑰（PFX）、內存鏡像提取、備份介質竊取。
• HSM 效能：
  1. 私鑰永不離開 HSM 物理邊界（FIPS 140-2 L3 入侵檢測/零化）。
  2. 敏感操作（備份/導出/簽發根 CA）需 M-of-N 智能卡授權（如 3/5）。
  3. RSA/ECDSA 簽名運算卸載至專用加速器，CA 吞吐量提升 5-10x。
• 成本考量：HSM 成本通常超過 CA 服務器，但對高價值 PKI（金融/軍工/關鍵基礎設施）屬必選投資。

CA 安全加固四維體系

1. 作業系統安全：基線合規 + 最小安裝

• 應用「Windows Server 2003 安全指南」中「憑證頒發機構服務器角色」安全模板。
• 根 CA：離線環境直接應用安全模板（secedit /configure）。
• 簽發 CA：域環境通過 GPO 推送基線（GPO → 電腦配置 → Windows 設置 → 安全設置）。
• 核心管控：禁用非必要服務/端口、啟用防火牆僅放行 RPC/HTTPS/LDAP/OCSP、啟用 AppLocker/WDAC 只許 Microsoft/CA 簽名二進制、啟用 Credential Guard/HVCI (Win2016+)。

2. 物理安全：離線根 CA 入保險櫃，簽發 CA 入機房

• 根 CA：完全離線、無網絡/外設、存放於防火/防水/防盜/恆溫恆濕保險櫃，每年 2-3 次受儀式化管控上線簽發下級 CA/吊銷/續訂，**全程雙人雙鎖、視頻錄像、公證/見證人簽署**。
• 簽發 CA：標準機房（門禁、監控、消防、UPS、精密空調）、機柜鎖、控制台鎖、KVM 物理隔離、串口/USB 禁用/管控。
• 備份介質：加密備份（BitLocker/AES-256）、異地存儲（≥25km）、定期恢複演練（季度）、介質銷毀記錄。

3. 審計與監控：構建「不可抵賴」證據鏈

• 啟用 CA 審計：`certutil -setreg CA\AuditFilter 127` (全事件) → 重啟 CA 服務。
• 安全日志轉發：WEF (Windows Event Forwarding) → 集中 SIEM，保留 ≥1 年。
• 關鍵事件告警：憑證簽發/拒絕/吊銷、模板修改、權限變更、服務啟停、備份/恢複、HSM 操作。
• 安裝/配置儀式記錄：根 CA 安裝、策略 CA 安裝、簽發 CA 安裝、每次根 CA 上線簽發，**全程視頻錄製、關鍵步驟截屏、參與人員實名簽署、存檔歸檔**。

4. 角色委派：最小權限分離職責

角色	權限 (CA MMC / 模板 / 註冊代理)	人員
CA 管理員	管理 CA 服務、啟停、備份恢複、配置 CRL/OCSP、查看審計	PKI 團隊核心成員
憑證管理員	核准/拒絕掛起請求、管理模板、發布 CRL、吊銷憑證	PKI 運營人員
註冊代理	代表用戶提交請求（智能卡/機器憑證），無審批權	Service Desk / 現場工程師
審計員	唯讀查看審計日志、導出報表	合規/內審/外審
備份操作員	僅執行 CA 備份任務，無其他權限	備份團隊

鐵律：無單一賬號擁有「CA 管理員 + 憑證管理員 + 註冊代理」合併權限。域管預設擁有 CA 管理員權限，**必須移除域管對 CA 的直接控制**，改為指定 PKI 團隊賬號。

根 CA 安裝儀式：建立信任的「創世記錄」

1. 準備：離線硬件、HSM、空白介質、打印機、視頻設備、見證人（法務/審計/高管/第三方公證）。
2. 安裝 OS → 打補丁 → 應用安全模板 → 安裝 CA 角色（獨立根 CA）。
3. 配置 CA 名稱、加密演算法 (RSA 4096 / ECDSA P-384)、雜湊 (SHA-256/384)、有效期 (20-25 年)、CRL/OCSP/CDP/AIA 延伸資訊（預留 HTTP/HTTPS URL）。
4. 生成根 CA 憑證，**全程視頻錄製**，導出根 CA 憑證 (`.cer`)、CRL (`.crl`)、私鑰備份 (HSM 多卡分控導出加密分片)。
5. 見證人簽署《根 CA 安裝儀式記錄》，存檔歸檔（紙質+電子雙份）。
6. 關機，物理斷網，入保險櫃。

至此，PKI 信任鏈錨點確立。下一步：簽發 CA 安裝、模板配置、自動註冊部署、NPS/AP/客戶端對接，詳見部署實施章節。