Именно.

В trusted и root => самоподписанные, корневые сертификаты Минцифры (ранее Минкомсвязь и ещё ранее имя в CN было Головной Удостоверяющий Центр)

ЦБ - это АУЦ и он от root - должен быть в mCA или uCA

Николай Батищев, Андрей *

Т.е. я правильно понял из ваших ответов?

Nginx
# Проверяет Root + Ca + My
sspi_certificate {My};
# Сертификат с которым мы принимаем(входящие) соединение.

# Проверяет Root + Ca + My
proxy_ssl_certificate {My};
# Сертификат с которым мы устанавливаем(исходящие) соединение.

# Проверяет сертификата клиента(входящие) + CA в Trusted. Если клиентский сертифкат официальный(не самоподписанный), то вместо Trusted, Root
sspi_client_certificate {Trusted};
# Проверка сертификата клиента, входящие по mTLS.

# Проверяет сертификат сервера + CA в Trusted. Если сертифкат сервера официальный(не самоподписанный), то вместо Trusted, Root
proxy_ssl_trusted_certificate {Trusted};
# Проверка сертификата сервера куда идут исходящие, исходящие по mTLS.

Подробнее
sspi_client_certificate / proxy_ssl_trusted_certificate
#
# {Trusted}
# Устанавливаются только корневые (самоподписанные) сертификаты Удостоверяющих Центров.
# Cертификаты выпущенные этими УЦ или подчиненными этим УЦ будут авторизовываться в mTLS
# Содержимое этого хранилища ограничивает перечень УЦ
#
# {Root}
# Cистемный. Официальные корневые сертификаты. Минцифры (ранее Минкомсвязь и ещё ранее имя в CN было Головной Удостоверяющий Центр) и тд.

Подробнее
sspi_certificate / proxy_ssl_certificate
# {Root}
# Cистемный. Устанавливаются официальные корневые для построения цепочки доверия c My.
# Если одни и теже сертификаты будут и в пользовательских и в хранилищах машины (mRoot, uRoot) nginx не запустится
# {Ca}
# Cистемный. Устанавливаются официальные промежуточные для построения цепочки доверия c My.
# Если одни и теже сертификаты будут и в пользовательских и в хранилищах машины (mCa, uCa) nginx не запустится