Musisz zaprojektować wewnętrzną infrastrukturę PKI, która obsługuje automatyczne zapisywanie dla użytkowników i komputerów domeny oraz maksymalizuje ochronę kotwicy zaufania. Projekt musi obejmować odłączony (offline) urząd certyfikacji root i umożliwiać normalne operacje zapisywania z urzędu certyfikacji przyłączonego do domeny. Jakie podejście do wdrożenia należy zastosować?

Prawidłowa odpowiedź to wdrożenie autonomicznego, odłączonego (offline) urzędu certyfikacji root, który wystawia certyfikat podrzędnego urzędu certyfikacji przedsiębiorstwa. Takie podejście maksymalizuje ochronę kotwicy zaufania, ponieważ urząd certyfikacji root jest utrzymywany w trybie offline, co minimalizuje ryzyko jego naruszenia. Podrzędny urząd certyfikacji przedsiębiorstwa, przyłączony do domeny, może następnie obsługiwać automatyczne zapisywanie dla użytkowników i komputerów. Publikacja listy CRL/AIA urzędu certyfikacji root przez HTTP zapewnia, że certyfikaty mogą być weryfikowane, nawet gdy root jest offline. Pozostałe opcje są nieprawidłowe: Pojedynczy sieciowy urząd certyfikacji root przedsiębiorstwa jest podatny na ataki, ponieważ jest zawsze online. Użycie publicznego urzędu certyfikacji jako root lasu nie jest typowym rozwiązaniem dla wewnętrznej infrastruktury PKI i może wiązać się z niepotrzebnymi kosztami i zależnościami. Azure Key Vault nie jest zaprojektowany jako urząd certyfikacji root dla lokalnej infrastruktury PKI. Dwa sieciowe urzędy certyfikacji root przedsiębiorstwa zwiększają redundancję, ale nie maksymalizują ochrony kotwicy zaufania, ponieważ oba są online.