Debe diseñar una PKI interna que admita la inscripción automática para usuarios y equipos del dominio y maximice la protección del ancla de confianza. El diseño debe incluir una raíz sin conexión y permitir operaciones de inscripción normales desde una CA unida al dominio. ¿Qué enfoque de implementación debe implementar?

La opción correcta describe una PKI de dos niveles, que es el estándar de la industria para la máxima protección del ancla de confianza. La CA raíz sin conexión (offline) minimiza la exposición a ataques, mientras que la CA subordinada en línea (unida al dominio) maneja la inscripción automática y la emisión de certificados. Publicar la CRL/AIA de la CA raíz a través de HTTP asegura que los clientes puedan validar la cadena de confianza. Las demás opciones son incorrectas: una única CA raíz en línea es menos segura; una CA pública no es una PKI interna; Azure Key Vault no es una CA raíz para una PKI interna tradicional; y dos CA raíz en línea no son el diseño más seguro.