Hostzertifikat vom Domaincontroller auf Clients ausrollen

Ich habe ein Hostzertifikat.
Dieses soll bei der Anmeldung am Domaincontroller automatisch auf die Clients ausgerollt bzw. dort installiert werden.
Das Zertifikat stammt nicht von einer PKI die auf dem Domaincontroller installiert ist.
Es gibt nur ein Zertifikat, das alle Clients bekommen sollen.
Geht das - und wenn ja, wie?