公開金鑰基礎結構 (PKI) 是數位憑證、憑證授權單位 (CA) 及登錄授權單位的系統，可確認與驗證每個使用公開金鑰加密涉及電子交易之實體的有效性。PKI 的標準仍在逐步形成，即使他們已廣泛實做為電子商務的必要元件。如需計劃 PKI 和使用公開金鑰加密的相關資訊，請參閱 Active Directory 憑證服務資源。
Microsoft PKI 支援可擴充的階層式 CA 模型，並提供日益增加之商業和其他 CA 產品的一致性。
憑證階層以其最簡單的形式以單一 CA 組成。不過，階層通常會包含數個 CA，並具備清楚定義的父系/子系關係。在此模型中，子系的次級 CA 是由其父系 CA 發行的憑證所檢定，可將 CA 的公開金鑰繫結至其身分識別。位於階層最上層的 CA 將以根 CA 的形式參照。根 CA 的子系 CA 稱為次級 CA。如需相關資訊，請參閱憑證授權單位的類型。
在 Windows 中，如果您信任根 CA (在您的「信任根憑證授權單位」憑證存放區中具有它的憑證)，即會信任階層中具備有效 CA 憑證的每個次級 CA。因此，根 CA 是組織中非常重要的信任點，應隨時受到保護。如需相關資訊，請參閱 CA 憑證。
設定數個次級 CA 有幾個實務上的理由，包括：
-
使用方式。憑證可能是基於數種目的而發行，例如，保護電子郵件和網路驗證。適用於這些用法的發行原則可能不同，此分別可提供管理這些原則的基礎。
-
組織單位。用於發行憑證的原則可能不同，會依據組織中實體的角色而定。再次提醒，您可以建立次級 CA，以分隔及管理這些原則。
-
地理位置單位。組織可能會在數個實體站台擁有實體。這些站台間的網路連線可能會需要多個或所有站台的個別次級 CA。
-
負載平衡。如果您的 PKI 將用於發行和管理大量憑證，只有一個 CA 會對該單一 CA 造成大量的網路負載。使用多個次級 CA 來發行相同類型的憑證，可在 CA 間分散網路負載。
-
備份與容錯。多個 CA 可增加網路永遠有可用操作 CA 的可能性，以回應使用者要求。
CA 階層也可以提供系統管理的優點，包括：
-
CA 安全性環境的彈性設定，以量身訂作安全性與可用性之間的平衡。例如，您可以選擇在根 CA 上採用特殊目的之加密編譯硬體，以在實體安全區域或離線時操作它。基於成本或可用性的考量，對於次級 CA 而言，可能是不可接受的。
-
「關閉」CA 階層的特定部分，而不影響已建立之信任關係的能力。例如，您可以很輕易地關閉並撤銷與特定企業單位相關的發行 CA 憑證，且不影響組織的其他部分。