Moin,
als allererstes musst Du sicherstellen, das alle Geräte der neuen PKI vertrauen.
Dann alle durch die alte PKI veröffentlichten Vorlagen von dort zurückziehen und die, die weiterhin benötigt werden, über die neue PKI veröffentlichen. Da beide CAs im gleichen Forest laufen, stehen die Vorlagen ja beiden CAs gleichermaßen zur Verfügung.
Dann die noch gültigen Zertifikate auf der alten CA durchgehen und für jedes betroffene System den Zertifikatstausch planen und durchführen.
Danach kannst Du die ADCS-Rolle vom DC deinstallieren und diesen dann herunterstufen und abbauen.
Evgenij Smirnov
http://evgenij.smirnov.de
