Собственно на web-интерфейсе, при генерации нового ключа - требуется задать срок больший, чем по умолчанию - например 2 или 3 года
Не в тот компонент отправил, надо в ЦУС - ибо срок действия сертификата определяется подписью!
Ну и, до кучи, если уж делать, задавать время для ca-root при генерации. Сейчас это "-days 3650" в ca-sh-functions.
*** Bug 37363 has been marked as a duplicate of this bug. ***