Выдать новый корневой доменный сертификат с sha256
 

Друзья, прошу помощи в этом, казалось бы легком вопросе:
Есть домен AD, есть пользователи - 3 десятка.
До недавнего времени все работало по умолчанию.
Доменный сертификат, устанавливаемый при развертывании домена по-умолчанию, стандартная доменная политика, которая этот сертификат раскидывает пользователям и так далее.

Ввиду некоторых особенностей ПО, сейчас потребовалось запилить новый корневой доменный сертификат в Центре Сертификации с шифрованием sha256.
И далее что бы он стандартной доменной политикой раскидывался пользователям.

Опята у меня не сказать, что бы мало, но не столько, сколько нужно для решения этой задачи.
Могли бы помочь, уважаемые гуру: как выполнить сию миссию: в каких оснастка, что делать, какие настройки и где выполнить?

Буду премного благодарен за любую помощь!

Certification Authority - там, где как раз центр сертификации - работает под управлением Windows Server 2012 R2 Datacenter