只能安装在特定机器上的 X509 证书

Question

是否可以创建一个不会安装在预定机器以外的机器上的证书？（使用嵌入在证书中的一些硬件指纹？）

或者，有没有办法从 TLS 连接的接收端检测证书是否来自错误的机器（除了仅仅保留 IP 查找表）

目标是使用证书进行身份验证，并确保证书没有被共享或泄露。