PKI mit OpenSSL - Vertrauen zum RootCA auf dem Intermediate-CA herstellen?

Hallo Leute,

ich möchte eine PKI in unserer Firma aufbauen und mir schwebt vor dies mit 2 Ubuntu-Servern und OpenSSL zu realisieren.
Ich habe auch bereits erste Versuche in meiner Testumgebung versucht und ein SelfSigned-Zertifikat auf dem RootCA erstellt und ein Intermediate-CA auf dem zweiten Server welches ich auf dem RootCA signiert habe (Standard-Vorgang bei einer PKI).

Ich habe eine Anleitung als auch ChatGPT befolgt und am Ende ein IIS-Zertifikat auf dem Intermediate-CA erstellt bzw. Signiert welches leider nicht geklappt hat (Browser meldet nicht vertrauenswürdige Webseite).

Auf dem Windows-11-Client:
Das CRT des root-CA wurde in 'vertrauenswürdige Stammzertifizierungsstellen' und das Intermediate-CA in den 'vertrauenswürdigen Zwischenzertifizierungsstellen' gespeichert.

Auf dem IIS-Server:
Ebenfalls in beide Zertifizierungsstellen jeweils das entsprechende PEM (als CRT-Datei) 'installiert' wie beim Windows-11-Client. Zusätzlich natürlich das signierte Server-Zertifikat auf die Default-Site 'gebunden'.

Ich habe mich mal mit der Windows-PKI befasst und dort hat das alles geklappt, mit der Ubuntu-PKI klappt das irgendwie nicht. Um Browser-Eigenarten erstmal beiseite zu legen (Firefox, Chrome und ähnliche benötigen die erweiterte Angaben und nutzen ihren eigenen Zertifikatsspeicher) habe ich die Tests mit Edge und IE gemacht.

Was mir bei all den Anleitungen und dem Vorgang mit ChatGPT aufgefallen ist:
Irgendwie fehlt mir die Vertrauensstellung zwischen RootCA und Intermediate-CA.
Ich übertrage zwar die Zertifizierungsanfrage des Intermediate-CA an den Root-CA und signiere es dort um anschliessend die CRT zurück zu transferieren um dort den Intermediate-CA damit auszustatten, aber ich sehe nirgends den Vorgang das der Root-CA auf dem Intermediate-CA bekannt gemacht wird und das diesem auch getraut werden soll?

Daher nun die Frage:
hat mir jemand eine korrekte Vorgehensweise / Anleitung parat die alles bis ins Detail 'abdeckt'?
Der Intermediate-CA muss doch auch die CRT vom RootCA besitzen und der muss doch auch irgendwie vertraut werden, richtig?


Hier ist das was ich mache:
Auf dem Root-CA:

• openssl req -new -x509 -days 3650 -keyout /etc/ssl/private/root-ca.key -out /etc/ssl/certs/root-ca.crt

Auf dem Intermediate-CA:

• openssl req -new -keyout /etc/ssl/private/intermediate-ca.key -out /etc/ssl/certs/intermediate-ca.csr

• 'intermediate-ca.csr' auf den Root-CA per SCP übertragen

Auf dem Root-CA:

• openssl x509 -req -days 3650 -in /pfad/auf/root-ca-server/intermediate-ca.csr -CA /etc/ssl/certs/root-ca.crt -CAkey /etc/ssl/private/root-ca.key -CAcreateserial -out /pfad/auf/root-ca-server/intermediate-ca.crt

(Pfade wurden natürlich entsprechnd angepasst)

• 'intermediate-ca.crt' auf den Intermediate-CA per SCP übertragen und in /etc/ssl/certs speichern

Und hier komme ich ins grübeln: wieso sollte, laut Anleitung jedoch korrekte vorgehensqweise, der Intermediate-CA dem intermediate-ca.crt vertrauen? Der weiß doch gar nicht das dem RootCA vertraut werden kann? Ausserdem weiß ich nicht ob das einfache Ablegen der CRT in /etc/ssl/certs ausreicht um das Zertifikat 'installiert' zu haben?

Am Ende müssen dann die RootCA.crt und die IntermediateCA.crt auf den Clients und dem Server in die entsprechenden Zertifikatsspeicher (wie Eingangs beschrieben) abgleegt ('installiert') werden und dann sollte das ja klappen. Klappt jedoch nicht und einer meiner möglichen Fehlerursachen sind eben diese Vertrauensstellung zwischen Root-CA und Intermediate-CA.

Ich hoffe auch eure Hilfe. Eine korrekte Anleitung oder auch Erklärungen zum Vorgang wird mir sicherlich immens helfen.

Schon einmal im voraus vielen Dank für eure Mühe und sei es nur für das Lesen meines Beitrages bis hierher.