Итак, я сейчас попробовал:  
cloudkey.key — это приватный ключ,  
cloudkey.crt — это промежуточный сертификат, за которым идет сертификат конечного узла.  

Следующий пропущенный шаг — как получить keystore и добавить сертификат в keystore. Я выполнил команду  
openssl pkcs12 -export -in cloudkey.crt -inkey cloudkey.key -out cloudkey.p12 -password pass:aircontrolenterprise -name unifi  

Затем положил его в keystore командой  
keytool -importkeystore -deststorepass aircontrolenterprise -destkeypass aircontrolenterprise -destkeystore unifi.keystore.jks -srckeystore cloudkey.p12 -srcstoretype PKCS12 -srcstorepass aircontrolenterprise -alias unifi  

Потом удалил следы командой  
rm cloudkey.p12  

И сжал файлы так  
tar -cvf cert.tar *  

После этого перезапустил nginx и unifi командами  
/etc/init.d/nginx restart  
/etc/init.d/unifi restart  

Это объяснение, а не недостающая информация! Кстати, в инструкции не хватает перезапуска nginx.  

Успешность установки можно проверить командами  
openssl s_client -connect ful.qualified.name:443  
openssl s_client -connect ful.qualified.name:8443  

Однако я до сих пор не понимаю, почему нет графического интерфейса для выполнения этих действий, особенно учитывая, что они такие сложные, когда можно просто загрузить, например, PKCS12 — и всё готово.

Расслабься, чувак... Вымещай свою злость на UBNT, а не на меня. Я просто говорю, что установка сертификатов StartCom через пару недель приведёт тебя к тому же, где ты сейчас с самоподписанными сертификатами UBNT. (И между прочим, инструкции, выложенные в этой ветке, работают, просто ты делаешь что-то не так.)

Ну, импорт сертификата StartCom изначально оказался отличной тратой времени, не могу не смеяться... https://blog.mozilla.org/security/2016/10/24/distrusting-new-wosign-and-startcom-certificates/https://security.googleblog.com/2016/10/distrusting-wosign-and-startcom.html

Извиняюсь за базовые вопросы... Значит, мне нужно взять мой новый файл .crt и переименовать его в cloudkey.crt, чтобы добавить в tar-файл? Как мне получить файл cloudkey.key для моего нового сертификата? И tar-файл надо назвать cert.tar, чтобы перезаписать существующий cert.tar в etc/ssl/private?

Я всё ещё должен сказать, что здесь нет чётко описанного процесса. Шаги, которые вы написали выше, дают вам 2 из 4 файлов, а дальше что? UBNT просто должна предоставить нормальную документацию по SSL для обеих систем — и для системного SSL-сертификата, и для Unifi, с возможностью менять один или оба. Обычно, когда я обновлял сертификат или даже переносил его, tar-файл не нужен. Насколько сложно создать нормальную статью в базе знаний с пошаговой инструкцией, чтобы люди могли сделать это без проблем?

@ccolotti

Согласен. Было бы здорово, если бы в настройках Cloud Key Configuration появилась графическая опция, которая бы оформляла весь этот процесс в понятный интерфейс.

@UBNT-KM

У меня вопрос по поводу получения приватного ключа. Когда я изначально создавал CSR, я запускал: java -jar /usr/lib/unifi/lib/ace.jar new_cert. Потом я импортировал выданный сертификат в хранилище с помощью: java -jar /usr/lib/unifi/lib/ace.jar import_cert.

Но чтобы экспортировать приватный ключ из хранилища, keytool запрашивает пароль от хранилища, и я не очень понимаю, какой именно пароль нужно вводить. Есть идеи? Спасибо!

Похоже, ты забыл вставить текст для перевода. Пожалуйста, пришли его, и я переведу!

@ccolotti:

В этом случае тебе просто нужно заменить следующие файлы (созданные тобой) в каталоге /etc/ssl/private/:  
cloudkey.crt  
cloudkey.key  
unifi.keystore.jks  
cert.tar (это tar-файл, который содержит три вышеуказанных файла, при загрузке система проверяет, не расходятся ли они между собой)  

Эти файлы не тронут при обновлении прошивки, но они будут удалены, если сбросить UniFi Cloudkey до заводских настроек. Спасибо.  
-KM