CA 根和 CA 从属管理员

Question

我想在具有多个子域和受信任域的域上部署新的 PKI 基础架构。我希望能够在与子域和受信任域相对应的多个管理员之间委派管理。此环境的适当实现是否是根 CA（企业），然后是每个域的从属 CA？是否需要为每个从属 CA 配备一台服务器？

在仅使用一个根 CA（没有从属 CA）的情况下，是否可以向本地管理员授予权限，以便他们只能为其域颁发证书？