permittedSubtrees が dNSName: example.com の制約付き中間 CA は、example.com とそのサブドメインに対してのみ発行できます。除外サブツリーを追加すると、特定の名前を除外できます。検証者はパス検証の際に、その CA より下位のすべての証明書に制約を適用します（RFC 5280 §6.1.3）。
名前制約は、発行を安全に委任する方法です。組織は自社のドメインに限定された、技術的に制約された中間 CA を受け取ることができ、CA/Browser Forum は監査要件においてこうした下位 CA を別扱いにしています。以前は対応がまちまちでした（この拡張を無視するクライアントや、クリティカルな名前制約で失敗するクライアントがありました）が、現在のブラウザー、OpenSSL、Go、Java はこれを適用します。
注意点：DNS 名に対する制約は、サブジェクトの commonName にだけ記載されたホスト名には自動的には適用されません。そのため、今も CN を読む検証者はだまされるおそれがあります。また、IP の制約にはアドレスとマスクの両方が必要です。