Самозаверяющие сертификаты OpenSSL, ноутбуки с Windows 10 и ошибка «У этого сертификата недействительная цифровая подпись»

Имею следующее:

1. Самозаверяющий внутренний сертификат CA, созданный OpenSSL
2. Сгенерированный OpenSSL подписанный внутренний CA, сертификат с подстановочными знаками

Этот сертификат защищает наши внутренние веб-сайты. например "myservice.corp.example.com"

В этом примере сертификат с подстановочными знаками имеет следующие поля примечания:

CN = ".corp.example.com "DNS =".abc.corp.example.com "DNS =" * .xyz.corp.example.com "

(т.е. последние два являются SAN)

Чтобы сделать цепочку CA приемлемой для ОС, я устанавливаю сертификаты CA на рабочие станции.

Это отлично работает на macOS. "Fine" == "Зеленый значок безопасности сайта в браузерах". Я устанавливаю сертификат CA в связку ключей всего сайта и устанавливаю для параметра Trust значение "Always Trust"

Однако в Windows 10 я устанавливаю сертификат CA через оснастку Certificates (или щелкнув правой кнопкой мыши сертификат -> Install). Независимо от того, что я делаю, я получаю в сертификате следующие сообщения об ошибках:

1. Сертификат -> Общие -> «Целостность этого сертификата не может быть гарантирована. Сертификат может быть поврежден или может быть изменен».
2. Сертификат -> Путь сертификации -> Статус сертификата -> «У этого сертификата недействительная цифровая подпись»

Наконец, ключ RSA составляет 2048 бит, а алгоритм подписи как сертификата CA, так и самозаверяющего сертификата - sha256.

Я очищенный в Интернете, но пока не могу найти какое-либо решение, которое помогло бы мне, но, похоже, это может быть одно из следующих:

1. Эмитент и тема не могут совпадать. Или должны совпадать? Точно сказать не могу. (Они совпадают в моем сертификате CA)
2. Неудовлетворительная минимальная длина ключа. (мы используем 2048 бит)
3. что-то другое?

Моя проблема в том, что я даже не знаю, как это исправить в Windows. Я администратор Linux. Итак, запрашиваем шаги по устранению неполадок и возможные решения.