Почему центр сертификации забит запросами c контроллеров домена?
Зачем лезть в вопросы "внутривиндового" существования? И контроллеры доменов, и обычные тачки периодически обновляют свои сертификаты, если есть работающий виндовый CA. Причем контроллеры доменов выпускают несколько сертификатов - часть из них именно для целей работы домена. Если изначально шаблон не предусматривал одобрение администратора CA - не нужно этого делать, у винды куча своих собственных внутренних шаблонов, пусть себе живет своей жизнью.
Эти запросы начинают приходить за 6 недель до окончания срока действия сертификата DC. К тому же, Вы подтверждаете запросы вручную. Чтобы запросы прекратились, надо подтвердить запрос - например, последний по времени, потом лишние запросы из базы можно удалить через certutil. Ещё у сертификата DC можно настроить autoenrollment (автовыпуск) и поменять период запроса на обновление (с 6 недель на меньший срок)