摘要：资产发现验收不能只看扫描成功或证书总数增加。企业应使用独立业务清单核对入口、端口、内部网络和证书存储位置，抽查扫描结果与实际服务，并单列未覆盖范围。AtlasDiscovery、TLS Connect 等工具的扫描方式各有条件，发现范围要由配置和验证结果说明。
平台上出现一千张证书，不能据此判断发现得很完整；只发现几十张，也不一定说明扫描失败。数量没有分母，无法回答覆盖率。
上线验收应先回答：企业原本预计哪些入口会有证书，哪些地方由本次发现任务负责。这个基准不能完全由扫描结果自己生成，否则未发现的系统会从核对范围中一起消失。
验收前先建立一份外部基准
可以从现有域名与 DNS 记录、负载均衡监听器、云资源登记、服务器和应用台账整理候选入口。这里的“外部”指独立于本次扫描结果，并非只看公网。
每项候选至少保留业务名称、访问名称或地址、端口、所在网络，以及能够协助确认的维护人。对于TLS 在 CDN 或负载均衡终止的业务，还应区分前端和回源入口，避免看到前端证书就把后端标成已覆盖。
候选清单也可能不完整，因此需要业务团队复核。闲置名称、废弃服务和只在特定时间启用的系统都应说明状态。将不再使用的对象从基准中排除，应有退役依据，不能仅因为它没有被扫到就删除。
对照扫描配置检查遗漏原因
接着逐项核对扫描目标和执行位置。常见问题包括只填写默认端口、扫描端无法访问内部网络，以及没有明确加入某些子域。对于基于TLS 握手的网络扫描，实际返回什么证书还可能受访问名称影响。
| 核对对象 | 验收时应取得的依据 |
| 公网业务入口 | 目标名称与端口、扫描执行状态、实际返回证书 |
| 私网或隔离区服务 | 扫描位置、网络放行及相应代理或采集方式 |
| 同地址上的不同业务 | 各业务访问名称及握手时返回的证书 |
| 本机证书存储区 | 是否有适用采集方式、权限和已完成的采集记录 |
| 暂未覆盖系统 | 不覆盖原因、现行维护办法及补齐计划 |
产品之间的扫描规则也不能混用。GlobalSignTLS Connect 官方文档明确，网络扫描不会自动遍历某个 FQDN 下的全部子域，需要分别准备目标。AtlasDiscovery 则有自己的外部与内部扫描配置。验收时应以正在使用的产品、版本和配置说明为依据，不能沿用另一款工具的经验。
网络扫描可观察服务出示的证书，但不必然看得到磁盘上尚未绑定的文件或所有客户端认证证书。需要这些对象时，应确认额外采集路径，而不是宣称一次端口扫描已经盘清企业全部PKI。
抽查要从业务清单走向平台
一种有效抽查方式是由业务维护人先选几个实际入口，再要求在平台中找到对应结果。这样能检查“应该存在但没有出现”的对象。若只从平台已有记录中抽样，通常只能证明已发现对象的信息是否准确。
对抽中的入口，用相同访问名称和端口核对证书指纹、有效期与链信息。再检查平台记录的扫描时间，避免将旧结果当作当前状态。负载均衡、多区域或灾备业务，应根据其结构选择不同路径核对，不必把一次正常响应推广到所有副本。
Atlas Discovery 的清单支持筛选和导出，可辅助将发现结果与内部基准匹配。但“导出成功”不是验收终点，需要判断每个候选入口为何匹配、为何不匹配，以及发现记录能否关联到业务。
不要用去重掩盖部署副本
同一张证书部署在多个位置时，可以将证书本身归为一个对象，但应保留各入口的关联。否则后续续期时，只知道“这张证书已经更新”，却不知道是否还有副本在继续使用旧证书。
反过来，同一个地址也可能呈现多张证书，取决于端口、SNI 名称或服务配置。只按 IP 去重，可能把重要差异抹掉。验收数据模型时，应让证书、端点和业务分别有明确关系，而不是追求最小的记录条数。
把已知缺口留下来持续复测
受网络隔离、第三方托管或设备限制影响，平台上线时存在缺口并不罕见。重要的是缺口可见、有现行维护方式，并有后续复核日期。
业务迁移、新增域名和网络策略变更后，都可能需要调整发现配置。首次验收通过不等于覆盖范围永久有效。可以把范围复核纳入现有变更检查：新增入口是否有发现路径，退役系统是否留下证书副本，扫描任务是否仍按预期执行。
最终验收材料应同时列出已经验证的范围、未覆盖的对象和判断依据。完整的证书管理不要求平台凭空发现所有资产，而要求团队清楚知道哪些地方已经看见、哪些地方仍需其他措施。
FAQ
Q1：扫描状态显示成功，是不是所有目标都已经发现？
A：不一定。应分别核对执行范围、可达性与预期对象，确认成功状态具体表示什么，不能以任务完成推定每个业务入口都有结果。
Q2：证书数量比旧表少，是否说明新平台不准确？
A：先比较统计口径。旧表可能包含过期证书、历史文件或重复副本，新平台也可能漏掉某些范围，需要逐项解释差异。
Q3：抽查为什么要从业务清单开始？
A：这样才有机会选中尚未被发现的入口。只抽平台已有记录，会遗漏对覆盖范围本身的检查。
Q4：同一证书出现多个端点，是不是应全部去重？
A：可以合并证书身份，但不能丢掉部署关联。每个端点都可能有独立的更新与故障处置要求。
关于 GlobalSign 证书发现能力
GlobalSign 提供 Atlas Discovery 及 TLS Connect 等相关发现和清单能力。企业可按实际网络和管理需求选择适用路径，再用业务基准核验覆盖结果。工具帮助获取信息，资产归属与未覆盖范围仍需与企业资源管理结合。
资料来源
Atlas Discovery 扫描配置
https://docs.globalsign.com/discovery/scan-profile
Atlas Discovery 清单管理
https://docs.globalsign.com/discovery/view-inventory
TLS Connect Discovery
https://docs.globalsign.com/solutions/services/clm/tls-connect/discovery