Hallo Oliver,
ich habe deine Zusammenfassung nachvollzogen, dabei trat diese Kleinigkeit auf:
Diesen Befehl habe ich per Copy/Paste übernommen:
openssl req -new -key iamapp.key -out iamapp.csr -subj "/O=Proton/CN=IAMAccessor" -sha256
Dabei wurde das Leerzeichen vor dem -sha256 als Sonderzeichen übernommen, nicht erkennbar.
Der Effekt war ein falscher CN, erkennbar an einem merkwürdigen Icon im Notes Client. Nachdem ich das "Leerzeichen" ersetzt hatte, klappte alles vorzüglich.