как по всем правилам хранить ключевую информацию веб- и клиентских сертификатов ЦР и ЦС? а руководстве по безопасности сказано, что в реестре хранить запрещено. для каждого ключа свой носитель? или можно поместить, например, на один рутокен?

Только нужно учесть, что если ключ сертификата клиентской аутентификации ЦР на токене, и на ЦР используется Windows 2003, то УЦ сможет нормально работать, только если включено кеширование ключей и этот ключ предварительно загружен в кеш.
Причина в том, что Microsoft запрещает программный доступ к любым считывателям смаркарт (в т.ч. виртуальным считвывателям в случае токенов) от приложений, запускаемых под пользователем из группы локальных администраторов.