Ingress mTLS CA 证书过期

您正在查看 ApigeeApigee Hybrid 文档。
此主题没有等效的 Apigee Edge 文档。

症状

查看 apigee 命名空间中的资源时,系统会显示 ReasonAIS_INGRESS_MTLS_CA_CERT_EXPIREYApigeeIssue

错误消息

运行 kubectl -n apigee get apigeeissues 后,系统会显示如下错误:

NAME                                    SEVERITY   REASON                             DOCUMENTATION                                                                                  AGE
ca-cert-expired-my-org-my-virtualhost   ERROR      AIS_INGRESS_MTLS_CA_CERT_EXPIREY   https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_EXPIREY   5h18m

可能的原因

原因 说明
Ingress mTLS CA 证书即将过期 配置的 Ingress mTLS CA 证书将在 14 天内过期。
Ingress mTLS CA 证书已过期 配置的 Ingress mTLS CA 证书已过期。

原因:Ingress mTLS CA 证书即将过期

存储在 ApigeeRouteConfig 引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书将在未来 14 天内过期。

诊断

运行以下命令:

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中,ISSUE_NAME 是问题的名称。例如:ca-cert-expiring-soon-my-org-my-virtualhost

输出应类似如下所示:

Name:         ca-cert-expiring-soon-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_EXPIREY
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is expiring in 5.409373245s at 2024-03-11 19:04:12 +0000 UTC
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_EXPIREY
  Reason:         AIS_INGRESS_MTLS_CA_CERT_EXPIREY
  Severity:       WARNING
Events:           <none>
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is expiring in 5.409373245s at 2024-03-11 19:04:12 +0000 UTC

Spec.Details 的内容说明了引用即将过期的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig 的名称。

解决方法

  1. 使用 kubectl describe 显示具有即将过期的 Ingress mTLS CA 证书的 ApigeeRouteConfig 的名称:

    kubectl -n apigee describe apigeeissue ISSUE_NAME

    其中,ISSUE_NAME 是问题的名称。例如 ca-cert-expiring-soon-my-org-my-virtualhost

    在此示例中,ApigeeRouteConfig my-org-my-virtualhost 引用了 Secret my-org-my-virtualhost

  2. 根据 ApigeeRouteConfig 确定 virtualhost 名称。

    ApigeeRouteConfig 的名称采用以下格式:<Apigee organization>-<virtualhost name>

    在此示例中,my-org 是 Apigee 组织,虚拟主机名为 my-virtualhost

  3. overrides.yaml 中找到相应的虚拟主机。

    virtualhosts:
    ...
    - name: my-virtualhost
      selector:
        app: apigee-ingressgateway
      caCertPath: ./certs/ca.pem
      sslCertPath: ./certs/vhost.pem
      sslKeyPath: ./certs/vhost.key
    ...
  4. 更新 caCertPath 文件中列出的 CA 证书。

  5. 将更改应用于虚拟主机:

    helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
      --namespace apigee \
      --set envgroup=ENV_GROUP_NAME \
      -f overrides.yaml

原因:Ingress mTLS CA 证书已过期

存储在 ApigeeRouteConfig 引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书已过期。

诊断

运行以下命令:

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中,ISSUE_NAME 是问题的名称。例如:ca-cert-expired-my-org-my-virtualhost

输出应类似如下所示:

Name:         ca-cert-expired-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_EXPIREY
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" expired at: 2024-03-11 19:12:10 +0000 UTC
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_EXPIREY
  Reason:         AIS_INGRESS_MTLS_CA_CERT_EXPIREY
  Severity:       ERROR
Events:           <none>
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" expired at: 2024-03-11 19:12:10 +0000 UTC

Spec.Details 的内容说明了引用已过期的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig 的名称。

解决方法

  1. 使用 kubectl describe 显示具有已过期 Ingress mTLS CA 证书的 ApigeeRouteConfig 的名称:

    kubectl -n apigee describe apigeeissue ISSUE_NAME

    其中,ISSUE_NAME 是问题的名称。例如 ca-cert-expired-my-org-my-virtualhost

    在此示例中,ApigeeRouteConfig my-org-my-virtualhost 引用了 Secret my-org-my-virtualhost

  2. 根据 ApigeeRouteConfig 确定 virtualhost 名称。

    ApigeeRouteConfig 的名称采用以下格式:<Apigee organization>-<virtualhost name>

    在此示例中,my-org 是 Apigee 组织,虚拟主机名为 my-virtualhost

  3. overrides.yaml 中找到相应的虚拟主机。

    virtualhosts:
    ...
    - name: my-virtualhost
      selector:
        app: apigee-ingressgateway
      caCertPath: ./certs/ca.pem
      sslCertPath: ./certs/vhost.pem
      sslKeyPath: ./certs/vhost.key
    ...
  4. 更新 caCertPath 文件中列出的 CA 证书。

  5. 将更改应用于虚拟主机:

    helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
      --namespace apigee \
      --set envgroup=ENV_GROUP_NAME \
      -f overrides.yaml

必须收集的诊断信息

如果按照上述说明操作后问题仍然存在,请收集以下诊断信息,然后与 Google Cloud Customer Care 联系:

  1. Google Cloud 项目 ID。
  2. Apigee Hybrid 组织的名称。
  3. ApigeeIssueSpec.Details 字段。
  4. (可选)caCertPath 为受影响的虚拟主机引用的文件。