Boa noite Astequio.
Para distribuir por GPO o certificado da CA:
Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies
Clique com o botão direito em cima de Trusted Root Certification Authorities
e selecione a opção Import
Em relação ao questionamento sobre certificado digital auto assinado, se você tomar todos os cuidados possíveis com a chave privada emitida pelo servidor CA, manter o servidor CA protegido, não vejo problema, o
único "problema" que pode ter é o trabalho de ficar instalando o certificado em máquinas externas para não apresentar erro de segurança, pois com a GPO não terá como instalar em computadores externos.
Se tiver a possibilidade, compre o certificado, tem várias, veja na Verisign
www.verisign.com.br, para instalar é simples normalmente a própria certificadora possui um documento explicando todos os passos, desde a criação da solicitação, até a
instalação. Mas é mais ou menos assim, após a emissão do certificado, a CA o enviará para você, é só instalar através da console do IIS do Exchange, e rodar o comando IISRESET /NOFORCE, que
já estará valendo, normalmente o processo de emissão do certificado demora um pouco, pois eles precisam validar seus dados, e garantir que a sua empresa é realmente quem diz ser.
Comprando um certificado digital de terceiros, evita a mensagem de erro, e eles garantem a confiabilidade do certificado e que a chave privada da CA está bem armazenada e protegida.
Chave privada é uma chave que somente o servidor que disponibiliza o conteúdo e a CA que a emitiu junto ao certificado devem ter, pois ela é capaz de descriptografar todo o conteúdo criptografado.
EX: Ao acessar o site HTTPS://www.banco.com.br e enviar dados para o servidor, como número de conta e senha, você criptografa o conteúdo de forma que nem você mesmo consegue abrir
novamente, criptografa usando a chave pública do certificado, com a chave privada o servidor consegue descriptografar os dados que você enviou.
