はじめまして。
上記内容について、私がRemoteAppを構成したときの経験を踏まえて回答します。
・1 「接続すると証明書に問題があるというメッセージが表示される」事象が発生する原因
a. リモートデスクトップ(RD)サービスの "証明書の管理" にて、以下Webの図4のように各RD機能が「レベル:信頼済み、状態:OK」になっていない
→ こちらが未済の場合、以下Webを参考に設定する必要があります。
Windows Server 2012: RDMS を使用して RDS を管理する
https://docs.microsoft.com/ja-jp/previous-versions/technet-magazine/dn235779(v=msdn.10)?redirectedfrom=MSDN
b. [コントロールパネル] - [RemoteApp とデスクトップ] 設定時の接続URLのホスト名が、証明書に登録されたCN名と合致していない
→ 証明書のCN名が <ホスト名>.domain.local の場合、接続URLは https:// <ホスト名>.domain.local/RDWeb/Feed (CNと同一名)の必要があります。
・2 クライアント側でRemoteAppで公開したWordのアイコンを表示させる方法
質問1の問題が解決すると、各クライアントのスタートメニュー中の [Work Resources(RADC)]の中に、RemoteAppプログラムとして登録されたものが表示されます。
(上記1の設定が完了しない場合、rdpファイルがダウンロードされるといった挙動になる)
・3「RD セッションホスト、RD接続ブローカー、RDWebアクセスを同じサーバーに構築しても問題ないでしょうか。CALも同じサーバーにインストールしようと思いますが、大丈夫でしょうか」
何を以って問題ないと判断するかによります。
パフォーマンスを問わないのであれば、RD セッションホスト/RD接続ブローカ/RDWebアクセスを同一サーバーに構築可能です。また、RDSライセンス機能も同サーバにインストールすることも可能です。
ただし、たくさんのユーザが利用する場合はパフォーマンスの劣化が考えられますため、この場合は1機能1サーバ(RDセッションホストは複数)に分けたほうが良いかと思います。
上記回答が参考になれば幸いです。