Você deve projetar uma PKI interna que suporte o registro automático (autoenrollment) para usuários e computadores do domínio e maximize a proteção da âncora de confiança. O projeto deve incluir uma raiz offline e permitir operações normais de registro a partir de uma CA (Certificate Authority) associada ao domínio. Qual abordagem de implantação você deve implementar?

A opção correta descreve a arquitetura de PKI mais segura e escalável para ambientes corporativos. Uma CA raiz offline autônoma (workgroup) maximiza a proteção da âncora de confiança, pois ela é mantida desconectada da rede, minimizando o risco de comprometimento. Ela emite um certificado para uma CA subordinada corporativa online, que é a CA que realmente interage com o domínio para registro automático de certificados para usuários e computadores. Publicar a CRL/AIA da CA raiz via HTTP garante que os clientes possam validar a cadeia de confiança mesmo com a raiz offline. As opções incorretas são: Uma única CA raiz corporativa online é menos segura, pois a raiz estaria exposta a riscos de rede. Usar uma CA pública como raiz não permite controle total sobre a política de certificados internos e não atende ao requisito de PKI interna. O Azure Key Vault não funciona como uma CA raiz para uma PKI on-premises tradicional que emite certificados para usuários e computadores do Active Directory. Duas CAs raiz corporativas online não aumentam a segurança da raiz e adicionam complexidade desnecessária; a redundância é geralmente implementada em CAs subordinadas.