Já si na to dělal taky návod
https://krakatoa.trialhosting.cz/openssl/https-na-web-serveru.php
Snažil jsem se to udělat co nejjednodušeji (třeba bez openssl.cnf). A i možnosti self-signed, rootca + koncový, i rootca + subca + koncový.
Včetně možnosti přidání certifikátu do Windows, prohlížečů a Apache.