摘要：手机参与企业办公后，证书管理的对象不再只有服务器，还包括员工身份、设备及其访问资格。移动端部署 PKI，应从入网、续期到丢失和离职处理整条流程考虑，并结合 MDM 管理与业务访问策略。证书能提供认证依据，但不能单独证明设备健康，也不能替代权限回收。
手机里的办公入口越来越多：公司 Wi-Fi、VPN、邮箱，有时还有内部业务应用。用户希望少输几次密码，管理员却需要回答另一个问题：这次连接来自谁，使用的是哪台设备，这台设备现在是否还应当接入？
移动端成为 PKI 的重要使用场景，并不意味着服务器证书不再重要。需要注意的是管理条件的变化：服务器通常有相对稳定的部署位置，员工手机却可能更换、遗失、重装，或者在同一设备上混用个人和工作应用。
领到手机时先确定证书代表谁
用户证书可以用于识别人，设备证书可以用于识别受管理的设备。具体部署中也可能结合两类信息，但不能只在证书名称里写上员工姓名，就认为人员与设备已经可靠绑定。
企业应先决定哪些设备可以注册，注册由谁批准，密钥在哪里生成和保存，以及证书对应的员工或设备记录如何维护。自带设备尤其要划分工作资料和个人资料的边界，不宜为了方便安装证书，要求员工交出不必要的个人数据。
GlobalSign 的移动身份验证方案面向 Wi-Fi、VPN、邮件等企业访问场景，可结合支持的 MDM/EMM 管理平台供给与维护证书。采购前应确认当前移动系统版本、MDM产品及目标应用的具体兼容范围，不能用“支持移动设备”代替联调。
首次发放的验收动作也应具体：设备领用人能否连接允许的网络，未注册设备是否被拒绝，以及用户证书与设备记录是否对应。只有一台管理员手机连通，不能代表整批设备都具备相同条件。
日常使用时证书会遇到手机自己的限制
移动设备不一定长期在线，后台任务也可能受到系统节电和应用权限限制。到期前一次下发没成功，不能等到用户出差时才发现凭据已过期。
可以把续期检查安排在设备仍有足够有效期时开始，并观察长期离线、系统版本过旧或管理配置异常的终端。这里需要同时核对 MDM 下发结果与实际认证结果。管理平台显示配置已发送，不等于 Wi-Fi 或 VPN 已经开始使用新证书。
还要避免混淆两种更新：安装新证书，与分发新的信任链。目标服务器换链、企业调整内部信任锚时，手机端可能需要适当的信任配置；反过来，随意导入一个根证书，会扩大设备信任的范围。配置包应由受控渠道发布，未经确认不应让用户自行安装来源不明的信任证书。
手机丢了之后怎样收回访问
设想一名员工发现手机遗失。管理员只把企业通讯录中的设备标记为“丢失”，但 VPN 仍允许原凭据认证，这就留下了管理记录与实际访问之间的缺口。
应按企业预案联动账户、证书及设备管理：确认需要暂停哪些访问，处理相应证书状态，并在 MDM 支持且获授权的范围内撤除工作资料或采取其他设备措施。随后测试相关访问是否确实受到限制。撤销信息能否被目标服务及时检查，也需要在实施时验证。
离职和设备转交同样如此。把手机恢复出厂，不是企业端权限回收的全部；为新使用者重新注册，也不能继续沿用前任的身份记录。设备转交应有新的关联关系，旧访问资格应按流程结束。
先把一个访问场景完整管起来
移动 PKI 不必一开始覆盖所有应用。可以先选企业 Wi-Fi 或 VPN，走通入网、更新、丢失处理与退出，再把配置推广到其他受支持场景。
试点时值得保留一台不满足条件的设备，确认拒绝逻辑，而不只展示成功连接。证书证明的是相应身份及密钥关系；设备是否越狱、补丁是否及时、用户能看哪些业务数据，还需要设备合规和访问控制策略配合。不能把一张证书当成手机的全套安全检查结果。
FAQ
Q1：给手机装一张公司证书，就能证明设备安全了吗？
A：不能。证书认证与设备健康检查是不同环节，仍需结合系统状态、MDM 合规信息和业务访问策略。
Q2：员工换手机，是否复制原来的私钥最方便？
A：不宜把复制私钥作为默认交接方式。应按设备注册和密钥管理策略为新设备建立身份，处理旧凭据，并验证新设备的访问范围。
Q3：为什么设备平台显示下发成功，VPN 还是认证失败？
A：还需检查证书是否安装到目标应用可访问的位置、所选身份与用途是否正确，以及链和访问策略是否匹配。下发结果不能替代实际连接检查。
Q4：设备远程擦除成功，还需要处理证书吗？
A：应继续按退出流程处理相关凭据和访问资格。不能只凭终端擦除记录推断企业侧认证已经停止。
关于 GlobalSign 移动身份验证
GlobalSign 提供基于证书的移动设备认证方案，并支持与相应MDM/EMM 环境协作。企业可据此将终端证书纳入发放、更新和撤销管理，具体接入仍需与 Wi-Fi、VPN 或邮件服务验证，确保身份变化能够落实到实际访问。
资料来源
GlobalSign 移动设备身份验证
https://www.globalsign.cn/authentication/mobile
GlobalSign 基于证书的身份验证产品手册
https://www.globalsign.cn/resources/datasheets/基于证书的身份验证.pdf