（体系的に学習されたいということでしたら）まず、検証環境としてADを構築し、１台のメンバー（推奨）かDCにエンタープライズルートCAをインストール構築してみれば分かります。
ドメインのグループポリシー暗号化を禁止してなく（既定ではそうなっています。）、回復エージェントの回復証明書が有効期限内であれば、EFS証明書はそのCAでも発行されたことが確認できます。
Webサーバー証明書は、グループポリシーて自動登録ができない証明書テンプレートのバージョン（サーバーOSのエディションにもよる？）ではWebサーバー(IISをインストールしたサーバー)のWebサイトより、CAに対して、手動で発行の要求をします。CAで発行されたWebサイトの証明書をWebサーバーのWebサイトに手動でインストールするといったフローになります。
自動登録が可能な証明書テンプレートのバージョン（サーバーOSのエディション）についてはすでに他の方が回答されています。（体系的に学習されたいということでしたら、参考書籍や回答されているMSページで学習してください。）
（MSページ）
http://technet.microsoft.com/ja-jp/library/cc725838.aspx
http://technet.microsoft.com/ja-jp/library/cc731429.aspx
ご質問の、上位CAの署名を確認するかにつきましては、
参考書籍で学習され、実際に検証されたうえで、実際にユーザーに対して発行された証明書の「発行者」、「発行先」、「証明書テンプレート」、「有効期間」などを実際にみられて学んでいただくしかありません。
ユーザーに対して発行された
EFS証明書は「発行者」=CA名、「発行先」=暗号化したユーザー名 となっており異なっている。（秘密鍵はユーザーがローカルコンピュー上のフォルダを暗号化した場合は、そのユーザーのローカルコンピュータ上の「個人」の証明書ストアにある。）
Webサーバー証明書は「発行者」=CA名、「発行先」=Webサーバーのコンピュータ名 となっており異なっている。。（秘密鍵はWebサーバーのWebサイトにある。）
となっていましたが。
試験問題作成委員会(http://shikenmondai.blog.shinobi.jp/)
