В сертификате должно быть (пример):

----BEGIN PRIVATE KEY-----
[Your private certificate]
-----END PRIVATE KEY-----
----BEGIN CERTIFICATE-----
[Your certificate]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[Intermidate#1 certificate]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[Intermidate#2 certificate]
-----END CERTIFICATE-----

ROOT исключить, т.к. это не желательно (иначе будет предупреждение об "Chain issues - Contains anchor" при проверке сертификата).

Так что вам нужно только пересобрать PFX-файл, без ROOT

Нет, без знания паролей пользователей у Вас это не удастся сделать.
Даже миграция в Office365 требует вода паролей пользователей (исключение только при наличии PST-архивов пользователей).

Посудите сами, на новом почтовике Вам и так придется заводить учетки, а следовательно и пароли к ним. Так что проще сбросить всем пароли, на выходные настраиваем заливку почты на новый сервак, а в понедельник пользователи могут снова сбросить пароль на старый.