En ese caso, y si te he entendido bien, bastaría con tener en tu sistema una copia de los certificados de los usuarios con acceso, o quizá baste sólamente con el DN de los certificados.
Una vez el usuario ha accedido al sistema con su certificado, recuperas los campos del certificado a partir de variables de entorno del servidor, y los comparas con los que tienes en tu base de datos. ¿No?
--
Por cierto, para comprobar la configuración del servidor (en caso de Apache, si no lo es avisa!!!!) en este FAQ explican las directivas a activar para que se aplique la atenticación de cliente:
http://httpd.apache.org/docs/2.2/ssl...#accesscontrol