Сертификаты Минцифры — как им не доверять

А почему не использовать политику CACertificatesWithConstraints? Этого же должно хватить?