O certificado só pode ser usado pela conta de serviço de rede

Question

Problemas:

Nosso serviço está usando uma certificação para a chamada de serviço do parceiro. Funcionou bem no site do IIS que está sendo executado como conta de serviço de rede. Mas quando executamos o teste do código como administrador (conta de domínio), a chamada de serviço sempre receberá o erro 403 (o código de sub-status é 7: certificado é obrigatório).

Verificamos:

• Anexe o depurador ao processo que descobrimos que o site pode acessar à chave privada quando estiver executando como conta de domínio.
• O certificado está na loja de certificados CURRENT_USER / MY da conta de domínio. E a cadeia de autorização cert é boa em cert store. A coisa especial deste certificado é sua CA raiz é uma CA interna corporativa. Mas a autoridade de certificação já está na raiz de confiança.
• No IE, se visitarmos diretamente um site https, esse certificado não estará na lista pop-up. Mas existe na lista de opções do IE-Content-certificates-personal.

Perguntas:

Parece que o uso do certificado está bloqueado por algumas configurações de segurança (Windows ou alguma política de domínio corporativo), como solucionar o problema?