Здравствуйте!
Заранее прошу прощения, если вопросы покажутся глупыми, есть только опыт использования стандартных Java JDK SSL/TLS средств и криптографии, никогда раньше не сталкивался с КриптоПро и ГОСТ шифрованием.

В общем, есть задача - реализовать кастомный интеграционный сервис с ИС МДЛП API на Java 11 платформе. Предварительный гуглёж показал, что ИС МЛДП для доступа к своему REST API требует HTTPS на гостовском шифре, а также снабжение отправляемой "полезной нагрузки" откреплённой цифровой подписью по сертификату заказчика.

Дальнейшие поиски показали, что вроде бы для решения вышеописанной задачи подойдет КриптоПРО JCP. Но дальше не совсем понимаю, что нужно делать. В наличии:
1) Скаченный дистрибутив JCP-2.0.41940-А
2) Установленный OpenJDK 11 (Eclipse Temurin)
3) Эксплуатироваться все будет на Linux (Debian 11 stable)
4) PFX от начальства (по описанию - это сделанный под Windows экспорт средствами КриптоПро CSP информации с USB-ключа).

Собственно, возникли следующие вопросы:
1) В JCP дистрибутиве масса JAR-ников, в документации по соседству сказано, что нужно просто добавить в classpath, но не понимаю, какие JAR нужны, а какие нет, для подключения по ГОСТ HTTPS и формирования открепленной цифровой подписи. Не хочется добавлять лишнего.
2) Для работы с обычным HTTPS (без mutual TLS) средствами стандартного OpenJDK достаточно передать путь до соответствующего PFX или JKS с корневыми и промежуточными сертификами в SSLContext.truststore, передать инстанс SSL контекста в нужный HTTP клиент и можно подключаться. Правильно ли понимаю, что в случае КриптоПро JCP тоже будут аналогичные действия, т.к. JCP является прозрачным криптопровайдером, реализующим стандартные интерфейсы JSSE, а вся "магия" будет "под капотом"? Ну, т.е., в инструкции по ИС МДЛП API от "Честного знака" указан набор корневых и промежуточных сертификатов, я их могу сложить в один JKS через jdk keytool например и передать как truststore и всё должно заработать с правильной версией TLS и chipher suite?
3) Не очень понятно, куда прописать путь до PFX от начальства для получения возможности формирования открепленной подписи, в документации чего-то не нашел((
4) Можно ли интеграционный микросервис собирать как fat jar или будут какие-то проблемы с тем, что JCP джарники подписаны?
5) Нужна ли лицензия на использование ГОСТ TLS и формирование откреплённой ЭП на стороне клиента? Вроде поиск выдает, что у вас обязательно требуется только оплачиваемая серверная лицензия.

Много где на форуме написано по поводу лицензий. Для исключения двоякого толкования, подскажите. Есть сервер с лицензиями JCSP, CSP, JTLS. Для двусторонней аутентификации на стороне клиента все же нужны какие-либо лицензии или нет?