openssl s_client -connect не работает с кодами 20 и 21, но работает нормально, если указано -CAfile

Я настраиваю самоподписанный сертификат, и у меня возникли проблемы. Я пытаюсь включить LDAPS-соединение, которое я установил с помощью этого руководство по сути. Моя проблема в том, что когда я проверяю соединение через:

openssl s_client -connect my_active_directory_server.com:636

происходит сбой с двумя ошибками:

• verify error:num=20:unable to get local issuer certificate
• verify error:num=21:unable to verify the first certificate

но когда я указываю -CAfile созданного мной ca.crt, кажется, что он работает нормально. эти ошибки исчезают, и команда показывает код возврата 0

openssl s_client -connect my_active_directory_server.com:636 -CAfile ca.crt

• Verify return code: 0 (ok)

Я предполагаю, что у меня просто нет этого ca.crt, хранимого и / или доверенного в правильном месте на моей тестовой машине (macOS Catalina). Я добавил ca.crt в системную связку ключей. Он отмечен как доверенный для всех пользователей. Есть ли здесь что-нибудь еще?

В конечном итоге я хочу запустить этот код в Windows 2016 и Centos, поэтому мои вопросы:

• Какие сертификаты необходимы на моих клиентских машинах? client.crt, ca.crt - или оба?
• Где они должны быть установлены на моих клиентских машинах, на которых необходимо установить LDAPS: (для Windows 2016, macOS Catalina и Centos)? и сценарии оболочки / PowerShell были бы очень признательны.