exemple pour un ad (ldaps) :

openssl s_client -showcerts -connect srv-hv2.eichromlab.com:636 </dev/null 2>/dev/null|openssl x509 -outform PEM >mycertfile.pem  

pour centos le mettre dans le bon dossier :

cd /etc/pki/ca-trust/
cp source/anchors/mycertfile.pem source/
update-ca-trust extract