Zertifikate über GPO ausrollen

bei uns in der Firma haben wir folgendes Szenario:

Alle User, die sich an der Domäne anmelden, bekommen automatisch ein Zertifikat mit ihrem Namen unter "Active Directory-Benutzerobjekt" in der Zertifikatsverwaltung abgelegt.

Das versuche ich jetzt mit virtuellen Maschinen in einem eigenen Netz nachzustellen.

Ich habe einen 2003 Enterprise Server mit CA als DomäneController angelegt.

In den Zertifikatsvorlagen habe ich eine Kopie von "User" erzeugt und diese bei "Certificate Template to Issue" eingefügt.
Domänenbenutzerberechtigung ist bei Lesen, Ausrollen und Autoausrollen.

In den Gruppenrichtlinien ist unter Public-Key-Policies -> Autoenrollment Settings auch alles aktiviert.

Aber es scheint nicht so recht zu funktionieren. Die GPO werden übernommen, aber ich bekomme auf dem Client nur das Stammzertifikat übertragen.

Habe ich irgendetwas vergessen?

Gruß und danke
Divus