Собран лабораторный стенд на виртуалках - (контроллер АД + промежуточный сервер сертификатов) + (корневой сервер сертификатов + участник AD). Корневой сервер срочно был удален и создан новый. Промежуточному выдали сертификат нового корневого. Старый сертификат завис, жить не мешает, но спортивный интерес - как убрать не нужное.
Через certutil просмотрел все хранилища, поудалял сертификаты старого корневого, но все равно в свойства промежуточного сертификат старого корневого маячит :)