Вы путаете доверие или авторизацию с аутентификацией. Единственная цель SSL-сертификатов состоит в том, чтобы доказать, что партнер является тем, кем, по его словам, он является, то есть установить его личность. Вам необходимо решить, доверяете ли вы процедурам этого ЦС для проверки личности до подписания CSR, и если да, поместите его сертификат в склад доверенных сертификатов.
Хотите ли вы, чтобы эта личность использовалась для доступа к частям вашей системы, - это совершенно другой вопрос, который вы должны решить по-другому, используя базу данных ролей, предоставленных удостоверениям. В этом особенно хорош LDAP, но вы также можете использовать СУБД или даже файл XML в Tomcat. Посмотрите на Tomcat Realms, как это сделать.
Чего нельзя делать, так это пытаться использовать хранилище доверенных сертификатов в качестве этой базы данных. Это не то, для чего это, и не цель, для которой это или PKI было разработано. Вот почему у вас возникают проблемы при попытке использовать его таким образом.