Automatische Zertifikatregistrierung bei neuer CA

Hallo zusammen,

ich habe (.... bitte nicht fragen wieso ....) unseren alten 2012 R2 DC auf dem die Stamm-CA lief sauber weginstalliert und dabei auch die CA entfernt. Die übrigen rollen wurden auf einen neuen DC 2012 R2 migriert, eine neue Unternehmens-CA wurde angelegt. Die alten Computerzertifikate hatte ich vorher nicht gesperrt, da ich befürchtete, dass dann unsere Sicherheitsrichtlinien, die eine Zertifikatbasierte Authentifizierung fordern, die Verbund der DCs untereinander verhindern würden. Ich hatte erwartet, dass die automatische Zertifikatregistrierung dann die neuen Computerzertifikate (Zertifikatvorlage Computer) neu verteilt. Das hat erstmal nicht geklappt. Das neue Zertifizierungsstellenzertifikat wurde zwar in der Domäne verteilt, die Clients scheinen aber mit den alten Computerzertifikaten zufrieden zu sein (sind ja auch noch gültig, weil nicht gesperrt). Zwischenzeitlich brach dann doch die Verbindung zu einem DC ab (digital signieren ein - auf beiden Seiten unterschiedliche Zertifikate), so dass ich dann die Richtlinien "Microsoft-Netzwerk (Server): Kommunikation digital signieren" deaktivieren musste - manuell am isolierten DC ... und an den anderen zentral. Für die DCs habe ich dann neue Domäncontrollerzertifikate angefordert, was dann auch klappte. Jetzt habe ich folgendes Problem:

Die Domänen-Computer holen sich kein neues Zertifikat, das sie ja ein altes haben. Das alte ist noch gültig und wird vom Autoenrollment offenbar nicht neu angefordert. Ich habe sicherheitshalber eine neue GPO erstellt, die das Autoenrollment für die Vorlage "Computer" einstellt - das hat auch nichts genützt. Ich könnte jetzt zu jedem PC gehen, ein neues Zertifikat manuell anfordern und das alte dann ersetzen. Lieber würde ich aber am Schreibtisch sitzen bleiben.

Ich hatte schon die Idee, den alten DC als isolierte VM (ohne Netzwerk) wiederherzustellen, alle Zertifikate zu sperren und die Sperrliste manuell an die Verteilungspunkte zu kopieren. Hat jemand eine bessere Idee? Gibt es eine Möglichkeit Zertifikate bestimmter Zertifizierungsstellen per Powershellskript aus dem Zertifikatsspeicher zu entfernen - habe nichts diesbezüglich gefunden ...

Eigentlich sollten man doch seit der Bankenkriese wissen: mit Zertifikaten spielt man nicht .....

Grüße

lcer

$certs = @( dir cert:\LocalMachine\my | Where-Object { $_.Issuer -eq "CN=alteCA, DC=dom, DC=hier, DC=de" })  
$certstore = New-Object System.Security.Cryptography.X509Certificates.X509Store “My”,”LocalMachine”
$certstore.Open(“ReadWrite”)
foreach ($cert in $certs) 
{
 $certstore.Remove($cert)
}