Сертификаты развернуты, запрашивал с публлишира сразу на весь кластер, встали норм, обозреватели видят защищённое соединение, но в IM&P в траблшутинге статус ввсех сервисов - UNKNOWN. Если откатываюсь на самоподписной - то все ок. Не понятно, что я пропустил.

Вы по документации делали? Там нужно несколько сертификатов менять и некоторые должны быть и с клиентской авторизацией и еще сервисы перезапускать нужно.

Вроде да, на каждый поставил tomcat-trust корневой сертификат, с cucm публишира сделал запрос на все ноды кластера (2 CUCM и 2 IMP) установил все полученные сертификаты. Шаблон для CA сделал новый (клиент-сервер)

То есть вроде все норм, а система ведет себя странно. Может я не тем документом пользовался?

Нашел проблему, надо было chain ставить, а не просто рут промежуточного сертификата