1) Du müsstest für den Fall in deinem Zertifikat localhost, die IP Adresse und ggf. den Hostnamen alleine eintragen.
Einfach immer auf den FQDN gehen.
2) Dein Client muss dem Zertifikat vertrauen welches vom Tomcat angeboten wird. Ob direkt dem Zertifikat oder der CA ist daher unerheblich. Ist aber einfacher eine CA verwalten als einzelne Zertifikate zu verteilen.