我想使用证书对部署在不同服务器上的系统进行相互身份验证。如果不是自签名证书，那应该怎样才能让生产环境中的每个系统都有自己的证书并信任对方的服务器呢？
签名的证书是付费的，我认为我不需要它们，因为我没有用户交互。我说得对吗？
这里的区别并不是真正的“自签名”与“签名”。正确的区别是“商业”与“内部”。商业证书供应商向您出售的正是一件事：他们在主要浏览器和操作系统的根存储中拥有证书。 Verisign 签署的证书与您签署的证书之间没有“技术”差异。威瑞信在此列表中只有一个签名证书，而您没有。 所以你是对的。对于内部身份验证，没有安全理由支持商业证书。您仍然必须同样小心地保护您的私钥。商业证书提供
便利，而不是安全。你付给他们一些钱，你就不用担心一些配置了。 但是你可以用便利换取金钱。有两种方法可以做到这一点：内部根和证书固定。使用内部根，您只需创建一些签名根证书（“证书颁发机构”）并将其放入服务器的受信任根存储中。然后向您自己发出 CSR（证书签名请求），对其进行签名，并将其应用到您的服务中。
证书固定只是跳过证书颁发机构步骤。只需获取所有服务证书，并将它们直接放入服务器的受信任根存储中即可。那么就没有间接的了。
每种方式都有其优点。我倾向于将所有其他条件固定为相同，因为它将我与特定的证书而不是链条联系在一起。但无论哪种方式都很好。
具体细节当然将高度依赖于您的工具链，您没有列出该工具链，但您的问题表明您已经知道如何创建证书。
请记住，您的安全将取决于保护您的私钥。但商业证书也是如此。