工作流编排
单个原子能力之外，cert-skills 还内置三个 CLI 编排型工作流技能——把多步命令串成端到端流程。
三个工作流
| 工作流 | 场景 | 阶段数 |
|---|---|---|
| 多层 PKI 生命周期 | 从零建私有 CA 体系 | 5 步 |
| 网络空间测绘扫描 | 批量采集→指纹→匹配→追踪 | 4 阶段 |
| 证书事件应急取证 | 可疑证书/主机取证 | 5 阶段 |
工作流 vs 单命令
单命令（如 analyze）回答"这一个目标怎么样"；工作流把多个命令串成"端到端流程"，回答"完成一个任务该按什么顺序用哪些命令"。先有任务轮廓再找工作流，比从命令清单里拼凑更高效。
它们和原子技能的关系
工作流技能不是新工具，而是编排现有 CLI 命令的剧本。每个工作流 .md 文件里有：
- When to Use / When NOT to Use — 触发条件与边界
- Phased Instructions — 分阶段步骤，每步给具体命令
- Anti-Patterns — 常见误用
选哪个工作流
三个工作流的本质区别
| 维度 | multi-tier-pki | mapping-sweep | ir-forensics |
|---|---|---|---|
| 方向 | 建设（造证书） | 发现（找资产） | 追溯（查嫌疑） |
| 输入 | 无（从零生成） | 主机/CIDR 列表 | 单个可疑目标 |
| 输出 | CA 体系 + 叶子证 + CRL | 资产清单 + 指纹匹配 + 拓扑 | 取证报告 + 监控基线 |
| 时态 | 一次性建设 | 持续盘点 | 事件触发 |
| 关键产物 | root/int/leaf.pem | scan.json + 快照库 | ir-case 快照 + CT 记录 |
下一步
逐个深入：