Zertifikat für Apachen im IntrAnet?

Hallo,

ich hab einen Linux Server (Ubuntu 18) mit einem Apachen am Laufen. Er steht in einem Intranet. Auf den Rechner soll NUR vom IntrAnet aus zugegriffen werden. Der Aufruf im Intranet erfolgt per https://meindienst.local.

In der Grundkonfiguration wird ein selbstsigniertes Zertifikat verwendet. Das produziert natürlich die übliche Zertifikat-Warnung (Seriöse Unternehmen würden niemals ...).

Wenn ich da jetzt ein offizielles, signiertes Zertifikat einbauen möchte, um diese Zertifikats-Warnung zu beheben, ... geht das überhaupt? Für mein Verständnis benötige ich doch einen offiziellen, auflösbaren Hostnamen, dem das Zertifikat zugewiesen wird. Punkt-local ist ja nun nicht wirklich etwas Offizielles ;)

Wenn ich den Nameserver des Intranets verbiegen könnte, würde ich einen offiziellen Hostnamen nehmen und den Hostnamen damit auf den internen Server routen. Aber kann / darf ich nicht ...

Als Lösung fällt mir nur ein, eine eigene Root-Zertifizierung (CA) einzurichten, damit die lokalen, selbstsignierten Zertifikate zu signieren und den Public Key der Root-CA in den Browsern im Intranet einzubinden. Aber ist das sinnvoll und praktikabel, wenn es mehr als 5 User sind?

Gibt es sonst noch Optionen? Gibt es CAs, die für einen beliebigen angegebenen Hostnamen ein vertrauensvolles Zertifikat ausstellen?

Habt ihr da Tipps?
Grüße und Dank
QQR700