私有 CA （Private CA，内部 CA）

私有 CA 在公共 Web PKI 之外签发证书。它的 根证书 不在浏览器和操作系统的信任库里，需要企业自己分发，例如通过终端管理系统、容器镜像或配置管理工具下发。常见实现有微软 AD CS（Active Directory 证书服务）、AWS Private CA、HashiCorp Vault 的 PKI 引擎、smallstep 的 step-ca，以及直接用 OpenSSL 脚本搭建。

为什么重要

公共 CA 只能为可公开解析的域名和公网 IP 签发证书，db.corp 这类内部名称、10.0.0.5 这类内网地址都拿不到公网证书。私有 CA 正好填补这一空白，是微服务之间 mTLS、VPN 与 Wi-Fi 客户端证书、设备身份认证的常用方案。它不受 CA/浏览器论坛规则约束，可以自行决定有效期、密钥类型和 EKU；在公网 TLS 证书逐步去掉 clientAuth 用途之后，这一点尤为重要。代价是私钥保护、吊销和根证书轮换都要自己负责。国内企业的内网门户、OA 系统和物联网设备也常采用私有 CA。

例子

内部根 CA（离线保存，下发到公司设备）
 └─ 内部签发 CA（在线运行，通过 ACME 或 API 自动签发）
     ├─ api.internal.example.com（服务器证书）
     └─ payments-service（用于 mTLS 的客户端证书）

常见误区

• 私有 CA 就是自签名证书。 私有 CA 是一套可以签发和吊销大量证书的层级体系，信任一次根证书即可覆盖全部证书，而不是逐个信任 自签名证书。
• 私有 CA 不安全。 安全性取决于密钥和流程的管理水平，规范运营的私有 CA 是企业的标准做法。
• 私有 CA 可以给公网网站用。 访客的浏览器不会信任它，除非访客手动安装你的根证书。