Ablauf Re-Zertifizierung nach neuer cert.id?

[(h)uMan]

Hallo,

wir haben unsere cert.id (oberste Hierarchie) mit einem höheren Schlüssel neu gerechnet und müssen jetzt alle ausgestellten Zertifkate (server, user) bis zum Ablaufdatum des "alten" cert.id Schlüssels rezertifizieren. Wir setzen die ID-Vault ein (Domino Enterprise 9.0.1 SP2 Cluster mit zwei Servern).

In der IBM Domino 9.0.1 Hilfe steht zum Thema ID-Vault:
----------
Der Schlüsselaustausch wird automatisch in der Kopie der Client-ID während der Client-Vault-Synchronisierung durchgeführt, wenn der Schlüsselaustausch auf dem Server erkannt wurde. Der Benutzer wird nie gefragt, ob er die neuen Schlüssel annehmen möchte.

Anmerkung: Aktivieren Sie die Nutzung einer Vault nicht, wenn gerade ein Schlüsselaustausch bei IDs durchgeführt wird. Warten Sie, bis der Schlüsselaustausch abgeschlossen ist.
------------

Wie ist das zu verstehen?
Wie bzw. warum soll ich die vorhandene ID-Vault deaktivieren, wenn diese über eine Richtlinie zugewiesen ist und aktiv genutzt wird?
Die "server-id" wird ja nicht in der ID-Vault gespeichert.
Wie verhält sich die Benutzermeldung, wenn die ID-Vault für eine Zeitraum deaktiviert wird?

Siehe auch Problem mit dem Austausch des Public Key: http://atnotes.de/index.php/topic,58118.0.html

Kann jemand praktische Erfahrungen mitteilen und mich ein wenig "aufklären"?

Besten Dank!