1. 为什么边缘节点必须用权威CA证书？2. 为什么源站可以使用自签名证书？3. 混合架构的配置与注意事项.边缘用CA证书确保用户信任，源站用自签名证书确保内部加密的灵活性。
泛域名证书的主要安全风险.单点故障风险（"一损俱损"）.管理与配置风险（"千里之堤，溃于蚁穴"）.外部攻击与供应链风险（"防不胜防"的漏洞）.核心防范措施.严格管理策略.引入自动化工具.拥抱ACME，实现边缘自动化.建立监控与应急机制.
第一部分：为域内电脑自动分发（GPO方式）.第二部分：为域外电脑手动部署.场景一：手动安装到Windows电脑.场景二：批量/静默安装（适合给域外电脑远程维护）.场景三：其他操作系统（Mac / Linux / 移动端）.
蓝绿部署.金丝雀发布.准备阶段：配置双证书支持.灰度阶段：逐步验证新证书.清理阶段：安全地移除旧证书.自动化与工具链.利用ACME客户端自动化续期.在Kubernetes中管理.监控、验证与回滚.
