Considerando o ambiente Windows Server 2008 e versões poster...

O AD DS detecta quando um novo certificado é colocado no armazenamento de certificados e aciona uma atualização de um certificado SSL sem precisar reiniciar o AD DS ou reiniciar o controlador de domínio.

O AD DS procura por certificados, preferencial e prioritariamente, no armazenamento da máquina local, em vez de buscar no armazenamento de certificado Particular do Serviço de NTDS.

Uma operação rootDse chamada de renewCertificate pode ser usada para acionar automaticamente o AD DS, a fim de atualizar os certificados SSL sem precisar reiniciar o AD DS ou o controlador de domínio.

Se o Windows Server 2008 ou um controlador de domínio da versão posterior encontrar diversos certificados no armazenamento, ele aborta a operação e solicita a manutenção dos certificados ao reiniciar o sistema que é encerrado automaticamente.

Uma operação rootADDS chamada de ServerCertRenew pode ser usada para acionar manualmente o AD DS, a fim de atualizar os certificados SSL, necessitando, todavia, reiniciar o AD DS ou o controlador de domínio.