私有CA
签发根链
纳入基线
信任源头
节点信任
系统信任库
节点池一致
生效范围
运行时
证书目录
配置重载
运行时口径
仓库证书
SAN覆盖
地址一致
身份校验
拉取验证
TLS校验
镜像可拉取
结果证据
治理顺序
先核对私有CA和SAN，再做单节点验证，最后进入节点池灰度
证书链治理要同时覆盖仓库侧身份、节点侧信任和运行时生效状态