Как с openssl выпустить сертификат CA, чтобы он автоматически импортировался в Доверенные корневые центры сертификации?

Для генерации самоподписанных сертификатов используем openssl.

Пользователи сами импортируют сертификат в систему и иногда ошибаются хранилищем.

Хочется генерировать сертификат CA так, что бы при его импорте в Windows, пользователю не приходилось выбирать хранилище и при этом он устанавливался в "Доверенные корневые центры сертификации" (пользователя или системы это не сильно важно сейчас).

Тот сертифкат, которым пользуемся сейчас, автоматически импортируется в хранилище "Промежуточные центры сертификации" и после этого личные сертификаты считаются недоверенными.

UPD1. Суть вопроса в том, как понять логику стандартного мастера импорта сертификатов в Windows? На основании каких полей и свойств сертификата он определяет хранилище?