WCF服务配置场景下能否用无私钥CA证书签署IIS生成的CSR

我目前正为WCF服务配置证书认证以实现安全防护，正在配置IIS使其通过指定机构完成校验。现有疑问如下：我是否可以使用我的自有CA证书签署通过IIS生成的CSR？但该CA证书没有对应的私钥。

• 首先给出明确结论：没有对应私钥的CA证书无法用于签署任何CSR。
  签名是CA证书的核心功能，本质是用CA的私钥对CSR中的公钥、主体信息、有效期等字段做非对称加密运算生成可校验的签名值，仅持有CA的公钥证书完全无法完成该操作。
• 如果你手上的CA证书是其他机构下发的根/中级CA公钥：直接将IIS生成的CSR提交给对应CA机构，由持有该CA私钥的运营方完成签名后，你再把返回的已签名证书导入IIS即可完成配置。
• 如果你是要自建私有CA完成内部WCF服务的证书校验：你需要先生成完整的CA密钥对（包含私钥和自签名的CA公钥证书），再用该CA私钥签署IIS的CSR；后续将CA公钥导入所有访问WCF服务的客户端的「受信任的根证书颁发机构」存储，即可正常完成证书校验。
• WCF场景特殊注意点：服务器证书必须配置服务器身份验证增强型密钥用法（EKU），且证书的主题可选名称（SAN）需要覆盖服务绑定的域名/IP，否则客户端发起请求时会触发证书校验失败错误。

内容的提问来源于stack exchange，提问作者Luis Sandoval Monestel