Чтобы не заморачиваться с ADCS, можно воспользоваться XCA.
Сгенеренный корневой сертификат XCA импортнуть в корневое хранилище домена выполнив команду от имени администратора домена на любом компьюере участнике домена:
certutil -f -dspublish "DOMAIN ROOT CA.crt" RootCA
И как писали выше, чтобы не засорять домен можно выделить отдельную dns зону для сетевых устройств. Новый домен включить в днс суффиксы сетевого интерфейса политиками домена.