結論としては、Device Check を実施するために、個別の証明書をインポートする必要はなく、
個別の証明書を署名した署名証明書をCMAにインポートする必要があります。

証明書チェックの動作

Device Check の デバイス証明書 (Device Certificate) チェックでは、CMAにインポートされた署名証明書のいずれかで署名された証明書がデバイスにインストールされていることを確認します。

署名証明書のインポート方法

署名証明書のインポートはCMAより簡単に実施できます。
詳しくは以下サポートサイトに掲載しております。

・ 証明書認証機能に関して 

デバイス証明書チェックの利用方法

Cato Client が Cato へ接続する際に、デバイス証明書の要件を満たしているかチェックするには、Device Check 機能と Client Connectivity Policy 機能を組み合わせて利用します。

Client Connectivity Policy の利用については 以下サポートサイトに記載しております。

・Device Posture / Client Connectivity Policy機能について

また、Cato Client 起動から接続までのフローは 以下FAQをご参照ください。

・ Cato Clientの接続フローについて教えてください。 

その他の Device Check

Device Check で利用できる証明書以外の機能については以下のFAQで紹介しています。

・Device Posture機能について

補足

本稿は下記メーカーKBを参考に作成されています。
デバイスポスチャープロファイルとデバイスチェックの作成