Здравствуйте!

В документации есть такой подраздел
3.15 Выпуск и установка служебных TLS сертификатов
Для подключения к NATS Streaming по TLS необходимо выпустить сертификат сервера
NATS Streaming и сертификат клиентской аутентификации. Выпуск сертификатов TLS должен
выполняться по соответствующим шаблонам. Перечень шаблонов сертификатов и процесс их
настройки описан в п. 3.10.
Для взаимодействия с ЦР оператору (персоналу) УЦ необходимо иметь два ключа: ключ
электронной подписи и ключ для обеспечения взаимодействия по протоколу TLS.

Сертификат клиентской аутентификации NATS Streaming и ключ для обеспечения взаимодействия по протоколу TLS - это из одной оперы? То есть, сертификат из первой части предложения должен соответствовать ключу из второй части?

Нашел ответ на свой вопрос здесь

Но вы уж, конечно, писатели. Цитаты:
2) Клиентский сертификат пользователя stan, выпускается по шаблону USER,
и
pkica ca new-cert-req -t 1.2.643.2.2.46.0.6 -s "CN=stan,C=RU" -c <Имя контейнера ЗК> -e -k KeyExchange -o <путь к файлу запроса на сертификат>

1.2.643.2.2.46.0.6 - это же не шаблон USER, это клиент TLS. Вот и непонятно, какой шаблон использовать ). Я использовал USER и заработало.