我可以从根CA获得证书，然后我可以使用它来签署我自己的Web服务器证书吗？ 如果可能，我会使用签名证书作为中间人签署其他证书。
我知道我必须用“我的”中间证书以某种方式configuration我的系统，以便向我的客户提供关于信任链的信息。
这可能吗？ 根CA是否愿意签署这样的证书？ 这个很贵吗？
背景
我熟悉SSL的基础知识，因为它涉及通过HTTP保护Webstream量。 我还对信任链的工作方式有了一个基本的了解，因为如果您使用具有有效链的证书进行encryption，那么根据浏览器的确定，networkingstream量将被“默认”保护/ OS供应商。
我也知道，许多根CA已经开始用中级证书为最终用户（如我）签名证书。 这可能需要在我的一端更多的设置，但否则，这些证书将正常工作。 我想这与保护CA的全部有价值的私钥以及如果我曾经被盗用过的灾难有关。
例子
现在，我们绝对不是这些组织的规模，但他们似乎正在做这样的事情。 这肯定会使这些证书的pipe理更加可口，尤其是考虑到我们正在扩大电子商务平台的范围。
您的问题在我和其他人看来是这样写的：“我如何向组织内部和外部的受任意互联网用户信任的实体颁发证书？
如果那是你的问题，答案是“你没有”。 如果不是，请澄清。
我还build议您阅读Brian Komar的“Windows Server 2008 PKI和证书安全性”，并考虑您的应用程序的所有各种PKIscheme。 你不需要使用微软的CA来从本书中获得一些东西。
一个快速的search显示，这样的事情存在，但与“联系我们的报价”表明它不会便宜：
https://www.globalsign.com/en/certificate-authority-root-signing/
我对这家公司没有任何要求，但是这个页面可能会给你一些条款来帮助其他公司做同样的事情。
如果你能做到这一点，有什么办法阻止Joe Malware发布www.microsoft.com的证书，并通过DNS劫持为你提供他自己的“特殊”品牌的更新？
FWIW，下面是如何获取Microsoft在操作系统中包含的根证书：
http://technet.microsoft.com/en-us/library/cc751157.aspx
要求非常陡峭。
这基本上不可能成为根CA的转售商，这几乎肯定会花费大量的精力和金钱。 这是因为，正如Tim指出的那样，您可以为任何域创build有效的证书，除非您控制该域，否则不应该被允许。
另一种方法是RapidSSL的经销商计划，在这个计划中，他们从根CA中完成所有艰苦的工作和问题。
问自己这两个问题：
如果答案是1， CAcert已经为您解决了您的问题。 如果答案为是，请查看OpenSSL，Firefox，IE和Safari附带的受信任根证书列表，并find一个签署中间证书。
我认为你最好做的是从CA获取通配符证书，这样你就可以在主域的任何子域上使用相同的证书，但是不能为其他任何证书颁发证书。
除了Joe H的链接之外，这里还有一个实际工作的链接：
https://www.globalsign.com/en/certificate-authority-root-signing/
CA Root Signing并不便宜，但对于大型企业而言则存在这种情况。