Как запретить Cyrus обслуживать корневой сертификат?

После изменения сертификата для моего экземпляра cyrus я получаю следующее предупреждение всякий раз, когда подписываюсь с помощью cyradm:

cyradm --user cyrus --authz cyrus localhost
verify error:num=19:self signed certificate in certificate chain

что является ошибкой OpenSSL, которая также появляется при подключении к серверу с openssl s_client -connect FQDN (Я заменил свое имя субъекта / сертификата на полное доменное имя и пропустил блок сертификата для публикации):

CONNECTED(00000003)
depth=2 /C=US/ST=UT/L=Salt Lake City/O=The USERTRUST Network/OU=http://www.usertrust.com/CN=UTN-USERFirst-Hardware
verify error:num=19:self signed certificate in certificate chain
verify return:0
---
Certificate chain
 0 s:/OU=Domain Control Validated/CN=FQDN
   i:/C=NL/O=TERENA/CN=TERENA SSL CA
 1 s:/C=NL/O=TERENA/CN=TERENA SSL CA
   i:/C=US/ST=UT/L=Salt Lake City/O=The USERTRUST Network/OU=http://www.usertrust.com/CN=UTN-USERFirst-Hardware
 2 s:/C=US/ST=UT/L=Salt Lake City/O=The USERTRUST Network/OU=http://www.usertrust.com/CN=UTN-USERFirst-Hardware
   i:/C=US/ST=UT/L=Salt Lake City/O=The USERTRUST Network/OU=http://www.usertrust.com/CN=UTN-USERFirst-Hardware
---
Server certificate
-----BEGIN CERTIFICATE-----
(omitted)
-----END CERTIFICATE-----
subject=/OU=Domain Control Validated/CN=FQDN
issuer=/C=NL/O=TERENA/CN=TERENA SSL CA
---
No client certificate CA names sent
---
SSL handshake has read 4171 bytes and written 328 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DHE-RSA-AES256-SHA
    Session-ID: 88FC7D094D2B0A0EAD11ADBAB0F4605CFF8B72DA0079C3C6E47939018C4CA3D4
    Session-ID-ctx: 
    Master-Key: A88EF226C587C6F9AE43EC7D04D6BC462E657ED851B6FC336940898A57C31E55BCFFACDFFEDBAFB3C65A024F27EB1006
    Key-Arg   : None
    Start Time: 1431561482
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---
* OK [CAPABILITY IMAP4rev1 LITERAL+ ID ENABLE AUTH=LOGIN AUTH=PLAIN SASL-IR] FQDN Cyrus IMAP v2.4.12-Debian-2.4.12-2 server ready

Это из моего /etc/imapd.conf:

tls_ca_path:            /etc/ssl/certs
tls_ca_file:            /etc/ssl/certs/TERENA_SSL_CA.pem
tls_cert_file:          /etc/ssl/certs/mail.pem
tls_key_file:           /etc/ssl/private/mail.key

Я получил сертификат TERENA CA от https://www.terena.org/activities/tcs/repository/, Раздел «Сертификаты TCS CA (SHA1) / TERENA SSL CA (PEM)». Проверка файла с помощью less показывает, что в файле есть только один сертификат, поэтому это не может быть причиной включения корневого сертификата. Рассматриваемый корневой сертификат "UTN_USERFirst_Hardware_Root_CA.pem" является частью ca-certificates пакет, который установлен на сервере.

Я понятия не имею, почему Сайрус настаивает на доставке корневого сертификата цепочки, а затем жалуется на это.

Обновление 1:

• Система работает под управлением Ubuntu 12.04.
• Разрешения промежуточного ЦС - 644, разрешения листа - 444.
• ls -lah /etc/ssl/certs/cyrus* ничего не делает, такой папки нет.

• openssl x509 -in /etc/ssl/certs/cyrus-imapd-ca.pem -noout -text |grep Issuer, с путем к моему сертификату:

  Issuer: C=NL, O=TERENA, CN=TERENA SSL CA
          CA Issuers - URI:http://crt.tcs.terena.org/TERENASSLCA.crt