Как просмотреть подписи, соответствующие параметру "Авторизованные подписи" в сертификате входа со смарт-картой в Windows CA

Я играю с ролью Windows Server CA и входами в систему с помощью смарт-карт. У нас есть работающая настройка PKI и выдача / вход в систему смарт-карт. Что меня интересует, так это опция "Требовать это количество авторизованных подписей" в "Шаблоне входа в систему Smartcard" и способ просмотра подписей. Для меня имеет смысл, что эта опция полезна, так как для сертификата из этого шаблона потребуется авторизованная подпись другого доверенного лица / стороны и запретить произвольным людям выдавать сертификаты для входа с помощью смарт-карты (при условии, что агент регистрации надежно защищен). Я могу выдавать сертификаты с этой опцией, но я не уверен, как посмотреть, какой сертификат использовался для подписи сертификата входа.

Мой сертификат подписи был взят из почти неотредактированной копии шаблона сертификата "Агент регистрации" и выдан без проблем. Когда я выдаю сертификат входа в систему с помощью смарт-карты, мне предлагается выбрать сертификат подписи (который является сертификатом агента регистрации), и после его выбора я могу выдать сертификат входа в систему очень хорошо. Когда я проверяю сертификат (дважды щелкните сертификат в оснастке Windows CA), в цепочке отображается только мой CA, а сам сертификат находится прямо под ним. Я понимаю, что только подписываю сертификат, а не промежуточный центр сертификации, но не должно ли что-то из моего сертификата подписи появиться в цепочке / деталях?

certutil -scinfo показывает, что цепочка проверена и имеет две записи "CertContext", хотя ни там, ни в цепочке проверки, ни где-либо в выходных данных нет никаких признаков того, что я подписал сертификат.

tl; dr, если моя подпись необходима для выдачи сертификата, не должно ли что-то, касающееся меня, появиться в окончательных данных сертификата?