Interne Windows CA für die Domäne

Moin,
da ich anhand anderer Beiträge mittlerweile alle Probleme in der Domäne gefixed habe, fehlt nur noch der Aufbau einer neuen Zertifikatsstelle mit Windows Server. Die „alte“ aktuelle ist nicht mehr wirklich funktionsfähig.

Nun die Frage, wie entferne ich die alte sicher? Passiert dann was?
Was für Zertifikate muss die neue bereitstellen?

Irgendwie per auto enrollment Kerberos für die DCs? Und weiter?

Habe das noch nie gemacht.
Kann ich was kaputt machen? So das nix mehr geht?


p.s. Die aktuelle stellt schon lange nix mehr aus