IIS, PKI WEB, права только на обновление сертификата

Добрый день!
Опишу свою задачу:
Есть филиалы, вне домена, на компьютерах которых установлен сертификат.
Необходимо обновить сертификаты через pki web сервис.
С правами Enroll так же можно выпустить и новый сертификат (а это как раз надо пресечь, возможно УЗ будет передана сторонним лицам и .т.п.).
Попробовал сделать дубликат шаблона и дать права только на обновление (CA Certificate manager Approval + Valid Existing Certificate), но теперь при обновлении ругается на то, что конфликт шаблона:

Код:

Your certificate request was denied. 



Your Request Id is 51555. The disposition message is "Denied by Policy Module 0x80094802, The request specifies conflicting certificate templates".



Contact your administrator for further information.

Вопрос:
Какие есть возможные способы ограничить права УЗ на выпуск сертификата, но оставить права на обновление.