freeipa и пользовательские сертификаты

Всем привет

Есть IdM сервер на FreeIPA, внутре которого имеется СА. Можно ли как-то этот СА заставить выдавать сертификаты пользователям, а не сервисам? Или хотя бы заставить СА подписывать произвольные CSR'ы?

Спасибо!