Как организовать безопасную ротацию сертификатов центра сертификации без остановки сервисов?

Безостановочная ротация CA требует периода перекрытия доверия: сначала клиенты принимают старый и новый CA, затем меняются сертификаты сервисов.

Проверьте оба направления mTLS, промежуточные цепочки и способность процессов перечитывать trust store. После обновления всех клиентов и серверов выведите старый CA из доверия. Нужны инвентаризация, наблюдение ошибок TLS и план отката; при компрометации старого ключа безопасное перекрытие может быть недопустимо.