摘要：PKI 围绕公钥、身份与信任建立可验证关系，但不会代替所有加密和访问控制。证书服务负责相应核验与签发，持有者保护私钥，客户端执行验证，业务系统决定授权，管理工具持续维护证书状态。分清这些职责，才能判断企业需要的是签发服务、私有信任体系，还是生命周期管理。
有公钥和私钥，为什么还需要数字证书？因为通信一方拿到公钥后，还需要判断它是否属于预期对象。PKI，也就是公钥基础设施，为这种关联及其信任管理提供相应机制。
证书将公钥与经过相应验证的身份信息联系起来，由签发者签名。验证方按照自己的信任和使用规则判断是否接受它。这里既有密码学，也有身份核实、策略和持续维护，不是安装一台CA 服务器就结束。
把一次使用拆成几个不同责任
以访问 HTTPS 服务为例，服务器出示证书及适用链信息，客户端检查访问标识、链与有效条件，并在协议中完成相应密钥协商和身份验证。真正的数据传输保护还依赖 TLS 等协议与正确配置，不是证书文件独自把所有通信加密。
| 参与对象 | 主要职责 |
| 证书申请与核验方 | 按服务要求准备身份及证明条件 |
| CA 与相关服务 | 依适用策略签发并提供相应状态信息 |
| 证书及私钥持有者 | 保护私钥并在获准用途下使用 |
| 客户端或依赖方 | 按信任、用途及应用规则验证 |
| 业务系统 | 决定认证通过后允许访问哪些资源 |
| 管理维护团队 | 跟踪证书、目标、更新与退出 |
这些角色有时由同一组织承担，也可能分属服务商、企业和终端软件。责任可以协作，但不能因为某一方完成工作，就省去其他方应做的检查。
证书证明身份关系 不直接决定业务权限
某员工持有能够通过验证的用户证书，不代表他可以读取所有业务数据。认证帮助识别相应身份，授权决定它能执行什么操作。离职或岗位变动后，企业还需要更新访问策略和相关凭据安排。
同理，一个网站证书有效，不说明页面内容没有风险；代码签名有效，也不能证明软件没有漏洞。证书可提供适用身份与完整性依据，但不能代替全部安全判断。
私钥保护则关系到身份能否被滥用。证书中的公钥可以公开，私钥或其操作权限不能随意分发。企业应根据用途选择受控存储和访问方式，不宜为了统一管理把所有密钥集中放进普通共享目录。
公共信任和内部信任不是一种部署条件
公开信任证书适用于满足相应规则的场景，由客户端的信任体系参与验证。内部服务采用私有PKI 时，企业还需要向受控客户端分发和维护适用信任锚，不能假设所有外部设备都会自动信任。
选择时应先看谁来访问、用什么客户端，以及企业能否管理其信任配置。对内部名称、设备或用户身份的需求，应确认适用证书服务和策略，不要为了“都用同一家”就强行采用相同产品。
GlobalSign Atlas 提供相应数字身份与公开、私有证书服务及集成路径。企业可以按用途配置签发方案，但具体服务、身份和接口仍须确认；平台名称不能替代对信任分发的规划。
状态与更新使信任能够继续维护
身份信息会变化，密钥可能受损，设备和系统也会退役。证书有效期和撤销机制用于支持相应状态管理，客户端如何检查、故障时如何处理，也受其实现和策略影响。
企业不能因为已经向 CA 申请撤销，就不再核对相关业务是否停止使用；也不能把管理台账里的新到期日当成线上证书已经更新。签发、状态、部署和实际验证需要建立联系。
对大量分散证书，还可以评估专门生命周期工具，统一发现、任务与维护记录。它与PKI 签发服务的职责不同：有一套 CA，不等于已掌握所有部署位置；有一个监测面板，也不等于已经控制所有密钥和业务权限。
按当前缺口选择建设顺序
如果问题是无法核实设备身份，应先明确注册与签发策略；如果内部客户端不信任新链，应处理信任分发；如果频繁漏续，则要补证书与业务关联、更新及验证流程。
无需把每个问题都升级为“重建整套PKI”。先定位缺少哪项责任和证据，再配置相应服务或工具，能够保留可用部分，也更容易验收改造结果。
Q1：企业买了 CA 服务，就等于证书管理已经完成了吗？ A：还需要保护密钥、维护业务与部署关系、安排更新和退出，并确认客户端按预期验证。 Q2：证书认证通过，用户就可以访问所有系统吗？ A：不可以。认证与授权不同，业务系统仍应按岗位和资源规则限制访问。 Q3：私有证书由知名服务商签发，为什么外部设备仍不信任？ A：私有信任需要适用的信任锚和验证配置，不能只凭服务商名称推定外部客户端默认接受。 Q4：PKI 问题是否都需要重新建设 CA？ A：不一定。应区分身份、信任、密钥、部署或生命周期缺口，针对实际问题改造，避免不必要地替换整套体系。
FAQ
关于 GlobalSign PKI 与 Atlas
GlobalSign 提供相应证书和数字身份服务，Atlas 可用于承接适用的身份配置、证书申请及集成需求。企业实施时应同时安排私钥保护、客户端信任与业务授权，使签发服务成为完整 PKI 管理中的一部分，而不是全部安全工作的替代品。
资料来源
GlobalSign Atlas 数字身份平台
https://www.globalsign.cn/atlas
IETF RFC 5280 X.509 证书与撤销列表规范
https://www.rfc-editor.org/rfc/rfc5280