Назначение сторонних клиентских сертификатов / ключей пользователям Active Directory

В нашей организации есть ряд сторонних поставщиков, с которыми мы должны взаимодействовать, используя клиентские сертификаты. Мы хотели бы иметь возможность назначать сертификаты / ключи конкретному пользователю Active Directory, чтобы:

• Пользователи не должны знать или заботиться о том, как установить сертификат; для них установлены необходимые сертификаты, например при входе в систему
• Мы можем проверить истечение срока действия этих клиентских сертификатов, чтобы администраторы запрашивали новые сертификаты по мере необходимости.
• Когда сотрудник покидает компанию, у него нет копии ключевого материала, которую он может взять с собой и продолжить доступ к третьей стороне.

Можно ли это сделать с помощью какой-либо части Active Directory? Должны ли мы вообще это делать?