すまん，オレオレ言い過ぎた．まとめると

1) PoundサーバでCAの設定をする
2) PoundサーバでCAの証明書をRootCA（FreeBSDだと/etc/ssl以下にある．他は知らぬ）に追加
3) IISサーバでreqを作る
4) 3)のreqにPoundサーバで設定したCAの秘密鍵で署名する
5) IISで4)で署名された証明書を使うように設定する

って感じ！