Certificate 证书颁发机构信任/验证层次结构

我目前有两个私有CA，一个根CA和一个从属CA。从属CA的CSR由根CA签名。我们有一些应用程序将使用从属CA进行相互TLS身份验证

---

问题：我有已由根CA签署的现有证书，可以与从属CA一起使用吗？还是必须创建由从属CA签名的新证书才能使其工作？

根CA签名的证书是可信的。这是PKI的本质。如果您将RootCA的证书放入CA存储，那么由该证书签署的所有证书都将有效。还是

通常认为用root用户签署最终用户证书是不明智的。它是一个持久的证书，是整个基础设施的基石。在您的位置，我将考虑统一PKI，并使用中间CA（< /P>）重新发布最终用户和服务器的证书。