Аттестация ключей и автономный корневой центр сертификации

Мы собираемся построить новую инфраструктуру PKI и изучаем различные варианты HSM.

Один из вариантов основан на разделении HSM, при котором один раздел будет использоваться для автономного корневого CA, а второй раздел - для онлайн-центра сертификации предприятия (все серверы - Windows server 2019).

HSM предлагает ключи аттестации в каждом разделе.

Я знаю, как проверить 3 уровня аттестации в ЦС предприятия с 3 разными идентификаторами политики. Однако автономный ЦС не имеет шаблонов версии 4.

У меня 2 вопроса:

1. Во время самоподписывания ключей корневого ЦС - есть ли способ проверить, что ключ аттестации пришел из автономного раздела?
2. При подписании промежуточных ключей - есть ли способ проверить, что ключ аттестации пришел из онлайн-раздела?

Я предполагаю, что ответ - «НЕТ», но я хочу быть уверенным ...

Спасибо