ADCS PKI – 交叉authentication或桥接CA？

您将需要简单的交叉authentication。 简单方便地将两个PKI“朋友”合并在一起。 每个组织交叉authentication其他组织并在其组织内发布交叉证书。

• 双向AD信任不需要（假设CRL可通过HTTP访问，而不是LDAP）
• 来自其他组织的CRL必须从您的networking获得，反之亦然。

简单的交叉authentication是不可扩展的。 在实践中，它将适用于不超过3个完全关联的同行。 为了build立各方之间的完整信任，所有交叉证书的发放数量计算如下： 。 换句话说，这是一个完整的graphics拓扑。

当有4个或更多的参与者时，总发放交叉证书的数量急剧增加。 这是CA桥接帮助的地方。 该graphics转换为星形拓扑，其中桥CA是拓扑的中心，并且连接到具有单边的所有参与者。 所需的交叉证书总数计算如下：

各方签发单一交叉证书给桥CA和桥CA向每一方发回单交叉证书。 当其他组织出示您的证书时，其链路将通过Bridge CA交叉证书循环，最终以您自己的根CA.