Установка корневого и подчинённого сервера сертификатов (ЦС)

Устанавливаем корневой:

Вариант установки - ЦС предприятия - Корневой ЦС - Создать новый закрытый ключ

*"Разрешить взаимодействие с администратором если ЦС обращается к закрытому ключу" галку не ставим, эта опция предполагает, что мы хотим использовать, своего(стороннего) криптопровайдера, для которого потребуется обращение к privatekey. ГОСТ и пр. При использовании поставщиков служб шифрования, входящих в состав Windows Server, использовать этот параметр не требуется.

С подчиненным все тоже самое:
Вариант установки - ЦС предприятия - Подчиненный ЦС - Создать новый закрытый ключ
и т.д.