设想：

1. 我们在 IT 中有两个部门；说Department-OLD和Department-NEW。
2. 存在单个内部 PKI 环境，并且根 CA（单个）受 All 信任endpoints。

问题：

Department-New，在同一个网络中，正在做很多新的开发。他们需要向所有系统和应用程序颁发证书，但我们不希望组织的其余部分（Department-OLD和endpoints）信任Department-NEW.

如何实现？