Beantragen von Zertifikaten durch den Client, oder wie stellt man mit Checkpoint Endpoint Security Zertifikate aus?

Derzeitig teste ich für eine bevorstehende Umstellung VPN-Software. Es kommt Endpoint Security von Checkpoint zum Einsatz. Die Verbindung aufzubauen klappt und alles läuft wie es soll, jedoch bereitet die Implementierung von Zertifikaten Probleme. In der Hoffnung von Euch den entscheidenden Hinweis zu bekommen.

Seit Tagen teste ich eine Umgebung die Unternehmensweit zum Einsatz kommen soll, da dort Hardware des Herstellers Checkpoint genutzt wird.

IST-Zustand:
Remote User können sich mittels Endpoint Security E75.40 (aber auch andere getestet bis E80.41) anmelden. Die Anmeldung erfolgt vor dem Domänen-Login, sodass Scripts und alles auch mittels VPN laufen. So weit so gut.

Die VPN-Anmeldung erfolgt jedoch über Benutzername & PW, sodass der User während des Anmeldeprozesses zwei Usernamen & Passwörter tippen muss (VPN+Domänenanmeldung) Das ist natürlich nicht gerade komfortabel, daher sollen bei der VPN-Anmeldung P12-Zertifikate eingesetzt werden.

Die UTM-1 Edge kann ja selber Zertifikate ausstellen, beim Importvorgang kam jedoch immer die Meldung nach den Passwörtern, die ich nicht kannte, da die Zertifikate vor meiner Zeit installiert wurden.

Also habe ich in der UTM-1 neue Zertifikate implementiert und danach exportiert. Diese wollte ich dann bei den Clients installieren und dachte gut ist, jedoch fragt er wieder nach Passwörtern für das Zertifikat, obwohl beim Erstellungsvorgang nach keinem PW gefragt wurde.

Alternativ dazu kann man über Endpoint Security Zertifikate durch und für den User ausstellen lassen
Wenn ich innerhalb der Software sage, es soll eines ausgestellt werden, so verlangt er einen Registrierschlüssel.

Laut Dokumentation kann dieser vom Admin (ich) über einen Endpoint Management Server ausgestellt werden, womit der User das dann erstellen kann.

Also habe ich den Server installiert und in Betrieb genommen, aber bisher kam ich nicht an die Funktion heran, da der Server beim Login immer meckert, das er "Get Workstation Policy" nicht beziehen kann.

So langsam stehen mir da die Nackenhaare hoch. Es muss doch möglich sein Zertifikate für die einzelnen User auszustellen, die auch in Endpoint Security anerkannt werden.

Übersehen ich da was, oder mache ich irgendwo einen Kapitalfehler?

Gruß
Freakie72