Die RootCA sollte nicht in der Domain sein.
Die SubCA sollte in der Domain sein.
Welches Zertifikat hast du von wo nach wo kopiert?
Ist das ein Testlab oder produktiv? Warum nimmst nicht eine Step by Step Anleitung von MS zur Hilfe?
Für mich sieht es weiterhin so aus, als bist lokal angemeldet und nicht in der Domain. Was ergibt ein whoami auf der SubCA?