На странице https://www.cryptopro.ru/support/docs у вас выложена инструкция Инструкция по переводу аккредитованного УЦ в подчинённый режим, где сказано, что на сервере ЦР можно создать виртуальную папку cdp и настроить автоматическое получение в нее СОСов ГУЦ и ИС1ГУЦ.
А на ЦС прописать в hosts, что rostelecom.ru и reestr-pki.ru - это IP ЦР.
"Тогда", цитирую, "ЦС сможет в автоматическом режиме получать доступ к СОС по адресам из сертификатов, например:
..."

Все верно. Я даже поэкспериментировал, удалив с ЦС все СОСы ГУЦ и ИС1ГУЦ - попробовал перезапустить ЦС - перезапустился.

Однако когда дошло дело до обработки запроса на сертификат веб-сервера ЦР с помощью утилит ЦС - ЦС напрочь "отказался" его делать, пока я не установил вручную СОСы ГУЦ и ИС1ГУЦ.