Com base nessa pergunta ( erro do OpenSSL - não é possível obter o emissor local certificado ), perguntando se o fato de estar faltando o serial e o DirName está causando o erro de verificação.
X509v3 Authority Key Identifier:
keyid:CD:56:70:EB:15:18:F9:68:17:85:7C:52:A5:3B:73:34:E4:74:B0:CA
Nesse link, eles têm DirName e serial , o que me fez pensar se esse é o problema.
Identificador de chave de autoridade incorreta no certificado de fim de openssl