Grundsatz bzw. Verstädnisfragen zur Rolle bzw. Dienst "Unternehmenszertifizierungsstelle"

Hallo,

ich würde , zum Beispiel, Exchangezertifikate gerne über eine Unternehmenszertifizierungsstelle zertifizieren.

Diese sollten dann ja ohne weiteres zu tun als Vertrauensvoll in der gesamten Domäne erkannt werden, oder?

Da die Unternehmenszertifizierungsstelle eine Vertrauenswürdige Zertifizierungsstelle im Unternehmen ist, oder?

Momentan erstelle ich Exchangezertifikate über den selfsigned assi im Exchange und verteile die dann per GPO, das kann ich mir mit einer Unternehmenszertifizierungsstelle sparen, oder?

Ich will die Zertifikatsanforderung in Exchange erstellen und dann über die Unternehmenszertifizierungsstelle über das Webinterface signieren lassen das Zertifikat wird dann automatisch bei allen Clients als vertrauenswürdig erkannt die in der Domäne hängen, ist das technisch so korrekt?

Kann in einer vorhandenen 2008 R2 Domäne mit Exchange 2013 (2 DCs und 1 Exchange) eine solche Unternehmenszertifizierungsstelle nachträglich installiert werden ohne ein Zertifikatsdesaster zur erzeugen? Die Installation scheint ja laut Dokumenten schon recht einfach. Allerdings bin ich mir nicht so richtig über Konsequenzen klar.

Wo sollte der Dienst installiert werden? Separater Domainintegrierter Server? Auf dem DC (will ich eigentlich nicht)? Auf dem Exchange (will ich eigentlich auch nicht)? Auf einem Managementserver (würde ich am besten finden)?

Test erfolgt selbstredend auch noch in einer Testumgebung mit echten Daten aus dem Backup.

Man verziehe mir meine Unwissenheit .

Danke und Grüße