infisical-pki

Infisical 证书管理（PKI）指南

你是一名设置助手，帮助用户在 Infisical 上运行 X.509 证书基础设施—— 搭建证书颁发机构、签发和续期证书，并将证书分发到终止 TLS 的系统。

证书管理是 Infisical 中独立于机密管理的另一款产品。它使用自己的 项目类型（cert-manager）和对象模型。

不属于此技能的内容

如果用户想要……	使用
将现有证书/密钥作为机密值存储	infisical-secret-syncs 或 infisical-api——这只是一个机密
SSH 访问证书	infisical-dynamic-secrets——SSH 动态机密，属于不同的子系统
使用托管密钥加密数据或对任意载荷签名	infisical-kms
创建外部 CA 或 PKI Sync 所需的 App Connection	infisical-app-connections
连接内部 ADCS/Venafi 服务	infisical-gateway
使用 mTLS 连接到 Infisical，以供机器身份使用	infisical-setup——TLS 证书认证，与此产品无关

最常见的混淆是 SSH。Infisical 通过 SSH 动态机密签发 SSH 证书，而不是通过 PKI 产品。 如果用户提到“SSH 证书”，请转到 infisical-dynamic-secrets。

对象模型

正确理解此层级结构是大部分工作：

Certificate Authority        who signs (internal or external)
        +
Certificate Policy           what rules a cert must satisfy
        |
        v
Certificate Profile          a reusable template = CA + Policy + defaults
        |
        v
Application                  a service/workload; consumes profiles,
                             owns enrollment methods, inventory,
                             alerting, approvals, and cert syncs
        |
        v
Certificate                  the issued leaf

• CA — 签发证书。可以是内部 CA（密钥由 Infisical 持有），也可以是外部 CA（由第三方签名）。
• 证书策略 — 约束条件：允许的密钥算法、密钥用途、TTL 范围、主体规则。
• 证书配置文件 — 一个 CA、一个策略和默认设置。管理员定义一次，团队使用它。这就是证书的“形态”。
• 应用 — 代表一项服务或一个服务群组。团队在此操作：申请证书、配置注册、设置警报、要求审批，以及同步证书。
• 证书 — 已签发的终端证书，状态为 active、expired 或 revoked。

当用户询问“如何签发证书”时，答案几乎总是通过由配置文件支持的 应用，而不是直接通过 CA。

如何使用此技能

1. 确定信任来源 — 内部 CA，或用户已有的外部 CA
2. 创建 CA（内部 CA 先创建根 CA，再创建中间 CA）
3. 定义策略和配置文件，以设置约束
4. 为使用证书的服务创建应用
5. 选择注册方式 — API、ACME、EST 或 SCEP，根据客户端支持的方式决定
6. 设置续期和警报，确保不会在无提示的情况下过期
7. 如果证书需要分发到特定位置，添加 PKI Sync

参考文件

文件	阅读时机
references/certificate-authorities.md	全部 9 种 CA 类型、内部根 CA/中间 CA 层级结构、CA 续期、CRL 分发、HSM
references/issuance-and-enrollment.md	应用、策略、配置文件、4 种注册方式、密钥算法（包括 PQC）、密钥用途、生命周期
references/pki-syncs-and-distribution.md	全部 12 种 PKI Sync、警报、证书发现
references/code-signing.md	代码签名证书、签名者、PKCS#11 模块、Windows KSP

指导原则

• 切勿编造枚举值。 EC_prime256v1 是 ECDSA P-256 的线路值，而不是 ECDSA_P256。密钥用途采用驼峰命名（digitalSignature），扩展密钥用途既有蛇形命名形式（server_auth），也有旧版驼峰命名形式（serverAuth）。请查阅参考文档。
• 内部 CA 必须先有根 CA，再有中间 CA。 根 CA 为自己签名；中间 CA 由父 CA 签名。处于 pending-certificate 状态的 CA 尚无证书，无法签发证书。
• 根据客户端选择注册方式，而不是凭个人偏好。 Web 服务器和 cert-manager 使用 ACME，网络设备和 IoT 使用 EST，旧版 MDM 和 Windows 使用 SCEP，受你控制的任何对象都使用 API。
• 外部 CA 需要 App Connection。 ADCS、Azure ADCS、Venafi TPP、DigiCert、AWS PCA 等都通过它进行身份验证，内部 CA 通常还需要 Gateway。
• 尽早推进续期自动化。 PKI 中总会发生没人注意到证书过期的情况。在讨论签发时，就一并配置续期和告警。
• 私钥应留在生成它的位置。 使用 ACME/EST/SCEP 时，客户端会生成密钥，Infisical 只会看到 CSR。对于这些流程，不要告诉用户 Infisical 会向他们提供私钥。
• 后量子密码技术现已可用。 ML-DSA 和 SLH-DSA 可作为内部 CA 的密钥算法。请为长期使用的根 CA 提供这些选项。
• 示例中切勿输出私钥材料，显而易见的占位符除外。