Microsoft RootCA X509v3 extensions

Hallo, zusammen.

Weiß vielleicht jemand, ob und wie es möglich ist, dem RootCA Zertifikat einer Microsoft CA (2003 R2 oder 2008 R2)
X509v3 extensions mitzugeben, die dann im Zertifikat stehen, daß sich z.B. Clients bei der CA abholen ???

Ich habe eine Vorgabe, daß das RootCA Zertifikat folgende Extension beinhalten muss:

X509v3 Basic Constraints: critical, CA:TRUE
X509v3 Key Usage: critical, Digital Signature, Certificate Sign, CRL Sign

Wenn ich mir das RootCA Zertifikat mit OpenSSL anschaue, finde ich nur das:

openssl.exe x509 -noout -text -in ca_cert.cer -modulus

X509v3 extensions:
X509v3 Key Usage:
Digital Signature, Certificate Sign, CRL Sign
X509v3 Basic Constraints: critical
CA:TRUE

Es fehlt also unter Key Usage der Parameter critical .......

Ich finde im Netz aber andere CA Zertifikat-Beispiele, wo alles drin steht:

X509v3 extensions:
X509v3 Key Usage: critical
Digital Signature, Certificate Sign, CRL Sign
X509v3 Subject Key Identifier:
2B:E4:5A:09:48:4E:E2:A4:2D:9F:46:CE:8C:CF:04:BB:2F:FD:75:F0
X509v3 Authority Key Identifier:
keyid:4A:78:32:52:11:DB:59:16:36:5E:DF:C1:14:36:40:6A:47:7C:4C:A1

X509v3 Basic Constraints: critical
CA:TRUE

Hat jemand eine Idee ???