U moet een interne PKI ontwerpen die auto-enrollment voor domeingebruikers en -computers ondersteunt en de bescherming van het trust anchor maximaliseert. Het ontwerp moet een offline root bevatten en normale enrollment-bewerkingen vanaf een aan het domein gekoppelde CA toestaan. Welke implementatiebenadering moet u kiezen?

De correcte aanpak omvat een offline standalone root CA en een online enterprise subordinate CA. De offline root CA maximaliseert de bescherming van het trust anchor, omdat deze niet direct aan het netwerk is gekoppeld en alleen wordt gebruikt om het certificaat voor de subordinate CA uit te geven. De enterprise subordinate CA, die aan het domein is gekoppeld, kan vervolgens auto-enrollment voor domeingebruikers en -computers afhandelen, wat voldoet aan de vereisten voor normale enrollment-bewerkingen. Het publiceren van de CRL/AIA van de root CA via HTTP zorgt ervoor dat clients de geldigheid van de certificaten kunnen controleren, zelfs als de root offline is. De andere opties zijn minder geschikt: Eén online enterprise root CA biedt geen maximale bescherming voor het trust anchor, omdat deze direct aan het netwerk is gekoppeld. Een openbare CA als forest root is niet geschikt voor interne auto-enrollment van domeingebruikers en -computers en biedt geen controle over de interne PKI. Azure Key Vault is geen volwaardige root CA-oplossing voor een interne PKI met auto-enrollment in deze context. Twee online enterprise root CA's verhogen de redundantie, maar maximaliseren de bescherming van het trust anchor niet, omdat beide online zijn.