Windows CA环境下迁移KDC及智能卡角色证书并安全删除旧证书的技术求助

各位技术大佬好，我现在碰到了Windows CA环境下的棘手问题，想请大家帮忙支支招：

• 我需要把当前证书承载的KDC和智能卡“角色”迁移到LATT-FP01-CA证书上，这样才能让Windows Hello正常工作
• 目前LATT-FP01-CA已经在用于Ubiquiti的无密码登录，所以这个CA对应的证书必须保留，不能动
• 我已经在谷歌等平台搜了不少资料，但都没找到能解决问题的有效方案
• 现在最核心的顾虑是：我要安全删除那台当前持有KDC和智能卡角色的旧证书，但完全不敢贸然操作，就怕搞崩整个公司的网络

补充信息：

• 我这边有两张关键截图辅助说明问题：
  1. 【证书列表截图】：展示当前环境中所有相关证书的状态，能清晰看到旧证书和LATT-FP01-CA证书的具体信息
  2. 【用户端错误提示截图】：呈现Windows Hello无法正常使用时，终端用户看到的报错内容

备注：内容来源于stack exchange，提问作者Thomas Fest