仅管理员可创建或导入 CA。main 加密保存 CA 私钥，slave 只接收公开 CA 与已签名 CRL。这里管理的用户证书 CA 与同步服务的 mTLS 证书分开。
私钥备份只在创建时下载一次；main 仍会保存加密副本。请妥善保管备份和 PKI_MASTER_KEY。