Жаль, конечно, что ты перестал доставлять ТЗ на русском, хотя причины понятны. При таком раскладе закрытие комментов правильный шаг - нет смысла следить за спамерами :)

должно работать и на 2008р2.

Вадим, Не скажите ли корректна ли возможность использовать CertEnrollmentAgent от одного СА, а сертификаты через EOBO запрашивать на другом. Оба СА являются подчиненными 3го уровня от одного и того же рута-полиси. Что интересно в 2003й версии Windows это работало, а вот в 2008R2 нет. Все настройки с виду идентичные и верные.

Не в курсе даже. Знаю, что есть ограничение, что кэшируется только последняя смарт-карта, которая использовалась при последнем онлайн логоне.

Вадимс, а вообще ограничение есть и какое оно (если есть)?