每个部门的服务器证书只能由相应的中间CA认证

Question

我正在创建PKI，其中我具有根CA，每个部门和最终用户服务器有多个中间CA。我可以进行证书链接，但是如何确保每个部门的最终用户证书只能由各自部门的中间CA进行认证。