Isto é muito fácil.
http://support.microsoft.com/kb/555324O acima é um artigo da sustentação que explique como usar um molde administrativo de GPO para atualizar chaves do registro.
Eu usei-o e é muito eficaz.
Using um certificado startup trabalhará mas será a maneira suja de fazê-la.