Cloud ist der Reverse Proxy? Der terminiert SSL? Bzw. hättest du entsprechend eine nginx-Config damit das vielleicht klar ist?
Mit Root-CA meinst du was genau? Eigentlich gehört die Chain aber eher mit Intermediate-Zertifikat und dem Zertifikat in dein public key file, wenn du nginx nutzt.
Wegen Vertrauen. Wenn du auf cloud.xyz.abc HTTPS terminierst, hat du potentiell nur HTTP zwischen dem und backend.xyz.abc. Da kommt's drauf an, ob du das wirklich willst, weil die Verbindung dazwischen potentiell unverschüsselt/unauthentifiziert ist. Wenn das zwei Hosts auf der selben Maschine sind oder das sowas wie ein VLAN oder ähnliches ist, macht das weniger, wenn das in einer nicht vertrauten Umgebung (Internet, öffentliches Datencenter, öffentliche Cloud, etc.) ist ist das eher eine schlechte Idee.
Da gibt's mehrere Lösungsansätze und dann kommt es drauf an, was du willst, was der Sinn beim Reverse Proxy wirklich ist. Wenn der Proxy eher der öffentlich erreichbare Server sein soll, du dich nicht um Caching dort kümmerst könntest du einfach einen TCP-Proxy machen und auf backend terminieren. Das ist dann interessant, wenn du aus welchem Grund auch immer einfach keine anderen Zugriffe auf den Backend Server haben willst.
Du könntest zwei mal terminieren, was auf Performance geht. Oder wenn die Verbindung zwischen den beiden ohnehin sicher ist (Tunnel, nebeneinander, etc.) kannst du einfach weiterhin HTTP dazwischen verwenden.
Ist das Ganze in der Cloud? Dann gibt's normalerweise eine Lösung was dir irgendeinen Tunnel/VPN dazwischen baut.
Oder ist damit ein CDN gemeint? Die haben manchmal die sehr unelegante Lösung dass du ihnen vollkommen vertrauen müsstest und ihnen deinen private Key geben musst. In diesem Fall ist es eine gute Idee statische und dynamische Daten zu trennen und auf zwei (virtuelle) Hosts zu verteilen - ist ohnehin meist eine gute Idee. Weiß jetzt nicht ob das unter Nextcloud geht. Wobei ohnehin die Frage ist, ob CDN mit Nextcloud nicht dem Zweck widerspricht.
Die kurze Antwort ist: Zertifikate brauchst du nur dort wo du TLS/HTTPS terminierst. Wo du terminieren solltest hängt von der Verbindung zwischen den beiden Hosts ab. Du könntest wie gesagt zwei mal terminieren. Nicht das Schönste (vor allem von der Performance, aber auch dadurch das beide Server damit Angriffspunkte wären), aber je nach dem wie groß die Maschinen sind und wie viel das genutzt wird am Flexibelsten.
Ich hoffe das hilft. Hoffentlich habe ich das nicht ganz falsch verstanden.
