Etki alanı kullanıcıları ve bilgisayarları için otomatik kaydı destekleyen ve güvenilir bağlantı noktasının (trust anchor) korunmasını en üst düzeye çıkaran bir dahili PKI tasarlamanız gerekiyor. Tasarım, çevrimdışı bir kök içermeli ve etki alanına katılmış bir CA'dan normal kayıt işlemlerine izin vermelidir. Hangi dağıtım yaklaşımını uygulamalısınız?

Bu yaklaşım, güvenilir bağlantı noktasının (trust anchor) güvenliğini en üst düzeye çıkarır çünkü kök CA çevrimdışıdır ve yalnızca alt CA'ya sertifika vermek için çevrimiçi olur. Etki alanına katılmış bir kurumsal alt CA, etki alanı kullanıcıları ve bilgisayarları için otomatik kaydı destekler. Kök CA'nın CRL/AIA'sını HTTP üzerinden yayınlamak, istemcilerin kök CA'nın geçerliliğini doğrulamasını sağlar. Diğer seçenekler: Tek bir çevrimiçi kurumsal kök CA, kök CA'nın tehlikeye atılma riskini artırır. Genel bir CA'yı orman kökü olarak kullanmak, dahili PKI'nin kontrolünü azaltır ve güvenliği tehlikeye atabilir. Azure Key Vault'u kök CA olarak kullanmak, çevrimdışı kök gereksinimini karşılamaz ve dahili PKI'nin tamamen şirket içinde olmasını engeller. Yedeklilik için iki çevrimiçi kurumsal kök CA dağıtmak, güvenilir bağlantı noktasının güvenliğini artırmaz, aksine saldırı yüzeyini genişletir.