Первая под конкретный контейнер, в приведенном виде устанавливает сертификат из контейнера в хранилище, но есть и вариант наоборот с установкой сертификата в контейнер. Детали лучше посмотреть в справке.

Вторая перечисляет все доступные в момент выполнения контейнеры (и реестр и флешки и токены), в приведенном виде команды ставятся сертификаты из контейнеров в хранилище личное пользователя и не трогаются сертификаты УЦ. Можно указать "-pattern регулярное_выражение" для установки только с токенов или только флешек или только реестра (для УЦ ФК и для определенного человека); "-machine" для установки в хранилище компьютера; "-roots" для корневых сертификатов в соответствующее хранилище.

1) в контейнере криптоПро предусмотрены два необязательных расширения, позволяющие установить в контейнер не только сам сертификат, соответствующий ключу, но и всю цепочку сертификатов до корневого сертификата (если пожелаете) - при установке сертификата мастером за это отвечает чекбокс "Установить сертификаты" в контейнер. Если обратили внимание в новых версиях КриптоПро он по умолчанию затененный или квадратик - это означает, что будет установлен только конечный сертификат, без цепочки. Если флажок отметить галочкой - будут установлены все сертификаты в цепочке, если снять отметку - ничего не будет установлено. Соответственно можно и установить и в обратном порядке, но у себя ставил токены в основном с криптоармом, не уверен подтянулись сертификаты с токена или загрузились со списком аккредитованных УЦ.
2) судя по справке будет искаться папка roots с корневыми сертификатами (полагаю, в корне флешки), тут наверно сотрудники лучше пояснят.

Чуть выше в справке csptest -help сообщает что -property "property for secret key linking" то есть команда как раз предназначена для связки с закрытым ключом. Посмотреть имена контейнеров можно через конкретный экземпляр криптопровайдера, это реализовано через подкоманду -keyset (для использования без привязки к конкретному контейнеру указывается -verifycontext, а если нужно посмотреть контейнер или что-то с ним сделать, указывается -container имя_контейнера)
csptest -keyset -verifycontext -enum_containers
Выведется дружественная форма имени контейнера. К команде можно добавить -fqсn или -unique (можно даже оба, имена будут разделены вертикальной чертой) для разных форм имени. Приниматься должны все формы имени контейнера, но fqcn самая надежная (без пробелов), а дружественная - самая понятная (нужно брать в кавычки если есть пробелы в имени контейнера).