01
PKI基础概念与设备身份
什么是PKI、数字证书的核心要素、设备身份与人的身份区别、设备指纹技术。
身份证书要素
02
证书生命周期总览
从申请到销毁的完整路径、各阶段常见故障概览。
生命周期故障概览
03
证书申请阶段（CSR生成）
CSR结构解析、私钥生成策略、常见CSR生成错误及排查。
CSR私钥
04
证书申请阶段（RA审核）
RA角色与职责、审核策略配置、审核超时与拒绝原因分析。
RA审核
05
证书颁发阶段（CA签发）
CA策略映射、签名算法选择、颁发延迟与失败排查。
CA签名
06
证书分发阶段（安全传输）
分发协议对比（SCEP/CMP/EST）、传输层安全加固、分发失败重试机制。
SCEPCMPEST
07
证书安装阶段（设备端）
证书链完整性检查、私钥与证书匹配验证、存储安全与权限问题。
安装证书链
08
证书验证阶段（信任锚）
根证书与中间CA证书分发、CRL配置、OCSP搭建。
信任锚CRLOCSP
09
证书使用阶段（TLS/SSL）
TLS握手过程中的证书交换、服务器与客户端证书验证、密码套件协商问题。
TLS握手
10
证书使用阶段（代码签名与文档签名）
签名算法兼容性、时间戳服务依赖、签名验证失败排查。
代码签名时间戳
11
证书监控与告警
有效期监控、证书透明度（CT）日志监控、异常签发告警设置。
监控CT
12
证书续期阶段（自动续期）
自动续期策略设计、ACME协议应用、续期失败回滚方案。
ACME自动续期
13
证书续期阶段（手动续期）
手动续期操作流程、密钥更新策略（更新密钥 vs 复用密钥）、业务中断最小化。
手动续期密钥更新
14
证书吊销阶段（CRL）
CRL生成与发布周期、CDP配置、CRL缓存与过期问题。
CRLCDP
15
证书吊销阶段（OCSP）
OCSP响应器配置、OCSP stapling技术、OCSP响应签名验证。
OCSPStapling
16
证书更新阶段（密钥轮转）
密钥生命周期管理、轮转策略（按时间/按使用量）、轮转期间服务连续性。
密钥轮转生命周期
17
证书归档与审计
历史证书归档策略、审计日志记录要求、合规性检查（如GDPR、SOX）。
归档审计合规
18
私钥泄露应急响应
泄露检测机制、紧急吊销流程、新密钥对生成与分发。
应急泄露
19
CA基础设施故障
CA硬件安全模块（HSM）故障、CA数据库损坏、CA服务高可用设计。
HSM高可用
20
网络与防火墙问题
SCEP/CMP/EST端口不通、代理配置错误、DNS解析失败。
网络防火墙
21
时间同步问题
NTP配置错误、证书有效期验证与系统时间偏差、时间跳变导致证书验证失败。
NTP时间偏差
22
证书链构建失败
中间证书缺失、交叉证书配置错误、证书路径验证算法差异。
证书链交叉证书
23
证书格式与编码问题
PEM/DER/PKCS#12格式转换、编码损坏修复、Base64解码错误。
PEMDERPKCS12
24
设备性能与资源限制
嵌入式设备内存不足、CPU性能瓶颈导致签名/验证超时、存储空间不足。
嵌入式性能
25
多厂商互操作性问题
不同CA产品间的证书兼容性、设备端TLS栈实现差异、密码套件支持差异。
互操作兼容性
26
云环境PKI挑战
云HSM与密钥管理、容器化环境证书分发、服务网格（如Istio）中的证书管理。
云HSMIstio
27
物联网（IoT）设备PKI
大规模设备注册策略、轻量级证书（如CWT/CBOR）、离线设备证书更新。
IoTCWTCBOR
28
日志分析与故障定位
PKI相关日志字段解读、日志聚合工具（如ELK）使用、常见错误码速查表。
ELK日志
29
自动化测试与模拟
证书生命周期自动化测试框架、混沌工程在PKI中的应用、模拟CA环境搭建。
自动化混沌工程
30
案例复盘与最佳实践
典型故障案例深度分析（如Let's Encrypt中断事件）、企业PKI运维SOP制定、未来趋势（如量子安全证书）。
案例SOP量子安全