您正在查看 Apigee 和 Apigee Hybrid 文档。
此主题没有等效的 Apigee Edge 文档。
症状
查看 apigee
命名空间中的资源时,系统会显示 Reason
为 AIS_INGRESS_MTLS_CA_CERT_EXPIREY
的 ApigeeIssue
。
错误消息
运行 kubectl -n apigee get apigeeissues
后,系统会显示如下错误:
NAME SEVERITY REASON DOCUMENTATION AGE ca-cert-expired-my-org-my-virtualhost ERROR AIS_INGRESS_MTLS_CA_CERT_EXPIREY https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_EXPIREY 5h18m
可能的原因
原因 | 说明 |
---|---|
Ingress mTLS CA 证书即将过期 | 配置的 Ingress mTLS CA 证书将在 14 天内过期。 |
Ingress mTLS CA 证书已过期 | 配置的 Ingress mTLS CA 证书已过期。 |
原因:Ingress mTLS CA 证书即将过期
存储在 ApigeeRouteConfig
引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书将在未来 14 天内过期。
诊断
运行以下命令:
kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如:ca-cert-expiring-soon-my-org-my-virtualhost
。
输出应类似如下所示:
Name: ca-cert-expiring-soon-my-org-my-virtualhost Namespace: apigee Labels: ais-reason=AIS_INGRESS_MTLS_CA_CERT_EXPIREY Annotations: <none> API Version: apigee.cloud.google.com/v1alpha1 Kind: ApigeeIssue Metadata: Creation Timestamp: 2023-06-12T17:03:43Z Generation: 1 Owner References: API Version: apigee.cloud.google.com/v1alpha2 Kind: ApigeeOrganization Name: my-org UID: 7e83a52c-ce00-4bed-98be-55835ada1817 Resource Version: 3281563 UID: adc775c2-376d-4bf9-9860-500b2b2b8273 Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is expiring in 5.409373245s at 2024-03-11 19:04:12 +0000 UTC Documentation: https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_EXPIREY Reason: AIS_INGRESS_MTLS_CA_CERT_EXPIREY Severity: WARNING Events: <none>
Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is expiring in 5.409373245s at 2024-03-11 19:04:12 +0000 UTC
Spec.Details
的内容说明了引用即将过期的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig
的名称。
解决方法
-
使用
kubectl describe
显示具有即将过期的 Ingress mTLS CA 证书的ApigeeRouteConfig
的名称:kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如
ca-cert-expiring-soon-my-org-my-virtualhost
。在此示例中,
ApigeeRouteConfig
my-org-my-virtualhost
引用了 Secretmy-org-my-virtualhost
。 -
根据
ApigeeRouteConfig
确定virtualhost
名称。ApigeeRouteConfig
的名称采用以下格式:<Apigee organization>-<virtualhost name>
。在此示例中,
my-org
是 Apigee 组织,虚拟主机名为my-virtualhost
。 -
在
overrides.yaml
中找到相应的虚拟主机。virtualhosts: ... - name: my-virtualhost selector: app: apigee-ingressgateway caCertPath: ./certs/ca.pem sslCertPath: ./certs/vhost.pem sslKeyPath: ./certs/vhost.key ...
-
更新
caCertPath
文件中列出的 CA 证书。 -
将更改应用于虚拟主机:
helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \ --namespace apigee \ --set envgroup=ENV_GROUP_NAME \ -f overrides.yaml
原因:Ingress mTLS CA 证书已过期
存储在 ApigeeRouteConfig
引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书已过期。
诊断
运行以下命令:
kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如:ca-cert-expired-my-org-my-virtualhost
。
输出应类似如下所示:
Name: ca-cert-expired-my-org-my-virtualhost Namespace: apigee Labels: ais-reason=AIS_INGRESS_MTLS_CA_CERT_EXPIREY Annotations: <none> API Version: apigee.cloud.google.com/v1alpha1 Kind: ApigeeIssue Metadata: Creation Timestamp: 2023-06-12T17:03:43Z Generation: 1 Owner References: API Version: apigee.cloud.google.com/v1alpha2 Kind: ApigeeOrganization Name: my-org UID: 7e83a52c-ce00-4bed-98be-55835ada1817 Resource Version: 3281563 UID: adc775c2-376d-4bf9-9860-500b2b2b8273 Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" expired at: 2024-03-11 19:12:10 +0000 UTC Documentation: https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_EXPIREY Reason: AIS_INGRESS_MTLS_CA_CERT_EXPIREY Severity: ERROR Events: <none>
Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" expired at: 2024-03-11 19:12:10 +0000 UTC
Spec.Details
的内容说明了引用已过期的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig
的名称。
解决方法
-
使用
kubectl describe
显示具有已过期 Ingress mTLS CA 证书的ApigeeRouteConfig
的名称:kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如
ca-cert-expired-my-org-my-virtualhost
。在此示例中,
ApigeeRouteConfig
my-org-my-virtualhost
引用了 Secretmy-org-my-virtualhost
。 -
根据
ApigeeRouteConfig
确定virtualhost
名称。ApigeeRouteConfig
的名称采用以下格式:<Apigee organization>-<virtualhost name>
。在此示例中,
my-org
是 Apigee 组织,虚拟主机名为my-virtualhost
。 -
在
overrides.yaml
中找到相应的虚拟主机。virtualhosts: ... - name: my-virtualhost selector: app: apigee-ingressgateway caCertPath: ./certs/ca.pem sslCertPath: ./certs/vhost.pem sslKeyPath: ./certs/vhost.key ...
-
更新
caCertPath
文件中列出的 CA 证书。 -
将更改应用于虚拟主机:
helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \ --namespace apigee \ --set envgroup=ENV_GROUP_NAME \ -f overrides.yaml
必须收集的诊断信息
如果按照上述说明操作后问题仍然存在,请收集以下诊断信息,然后与 Google Cloud Customer Care 联系:
- Google Cloud 项目 ID。
- Apigee Hybrid 组织的名称。
ApigeeIssue
的Spec.Details
字段。-
(可选)
caCertPath
为受影响的虚拟主机引用的文件。