На корневом Крипто-ПРО установлено.
Переводить на ГОСТ корневой не планируем. Во-первых его из-за этого придется перевешивать, во-вторых если я его выпущу по ГОСТ мне придется у всех пользователей, серверов электронной почты, видеоконференцсвязи и т.д., ставить Крипто-ПРО, чтобы они могли работать с корневым сертификатом, это мало реально.

Проверили на своих стендах. Работа с о мешаными алгоритмами успешная.
Выполните:
certutil –dspublish –f <filename> NTAuthCA, где <filename> – имя файла с сертификатом. Сертификат корневого и подчиненного ЦС.
Далее везде выполните gpupdate/force.
И проверьте аутентификацию по сертификату.