Минимальная утилита selfcert/makecert как правило идет в комплекте Microsoft Office, но есть и статьи с задачами вроде подписания драйверов со ссылкой только на утилиту и смежные утилиты (из различных гигабайтних SDK выбраны утилиты на несколько килобайт). Минус - RDN в selfcert сильно упрощен, selfcert/makecert ключ неэкспортируемый по умолчанию. Экспортируемый сделать можно указав makecert параметры командной строки, но выгружается в совершенно диком формате, который придется переконвертировать в нормальный pfx теми самыми утилитами из SDK.

Есть утилиты от КриптоПро, насколько помню csptest может самоподписанный сертификат сделать, но придется сильно заморочиться если в названии есть кавычки. В особо жестких случаях для одной кавычки в RDN может потребоваться шесть кавычек в командной строке.

Аналогично openssl req имеет опцию -x509 сразу создающую самоподписанный сертификат вместо запроса. Стандартный RDN указывается в конфиге (можно создать такой конфиг что почти не будет отличаться от квалифицированного сертификата - у меня не вышло пока только задать формат NUMERIC String для ИНН/ОГРН/СНИЛС, но если честно не все аккредитованные до прошлого года УЦ это делали, по текущей аккредитации глубоко не смотрел), но далее в консоли в диалоговом режиме можно подправить RDN. Есть возможность вводить сразу в UTF-8 (то есть не маяться с кириллицей в 866 кодировке или с перекодированием как в Паскале), указывать Subject Alternative Name. Через gostengy есть поддержка ключей гост-2012 в контейнерах Криптопро (сгенерировать ключ правда не выйдет, только использовать уже существующий контейнер).

Еще способ - после создания запроса в хранилище сертификатов "запросы заявок на сертификат" появляется этот запрос в виде самоподписанного сертификата - экспортировать оттуда.