Нет-нет, секретный ключ не нужен при связи nginx-backend. Смысл в том, чтобы не делать тогда защищенный канал между ними, а на веб-сервере сделать просто авторизацию по логин/паролю, который будет вытаскивать nginx из базы ldap(в соответствии с данными о пользователе из сертификата) и передавать backend'у, если это, конечно, реализуемо. Насколько я успел прочитать, через заголовки передать эту информацию будет не очень проблематично. Я ошибаюсь?

С уважением,
deVox
de.vox@gmx.com