Ingress mTLS CA 证书无效

您正在查看 ApigeeApigee Hybrid 文档。
此主题没有等效的 Apigee Edge 文档。

症状

查看 apigee 命名空间中的资源时,系统会显示 ReasonAIS_INGRESS_MTLS_CA_CERT_INVALIDApigeeIssue

错误消息

运行 kubectl -n apigee get apigeeissues 后,系统会显示如下错误:

NAME                                    SEVERITY   REASON                             DOCUMENTATION                                                                                  AGE
ca-cert-invalid-my-org-my-virtualhost   ERROR      AIS_INGRESS_MTLS_CA_CERT_INVALID   https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID   5h18m

可能的原因

原因 说明
Ingress mTLS CA 证书未采用 PEM 编码 配置的 Ingress mTLS CA 证书未采用 PEM 编码。
Ingress mTLS CA 证书的格式不正确 配置的 Ingress mTLS CA 证书的格式不正确。

原因:Ingress mTLS CA 证书未采用 PEM 编码

存储在 ApigeeRouteConfig 引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书缺少 PEM 编码文本块(或格式不正确)。

诊断

运行以下命令:

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中,ISSUE_NAME 是问题的名称。例如:ca-cert-invalid-my-org-my-virtualhost

输出应类似如下所示:

Name:         ca-cert-invalid-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID
  Reason:         AIS_INGRESS_MTLS_CA_CERT_INVALID
  Severity:       ERROR
Events:           <none>
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded

Spec.Details 的内容说明了引用非 PEM 编码的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig 的名称。

解决方法

  1. 使用 kubectl describe 显示具有非 PEM 编码的 Ingress mTLS CA 证书的 ApigeeRouteConfig 的名称:

    kubectl -n apigee describe apigeeissue ISSUE_NAME

    其中,ISSUE_NAME 是问题的名称。例如 ca-cert-invalid-my-org-my-virtualhost

    在此示例中,ApigeeRouteConfig my-org-my-virtualhost 引用了 Secret my-org-my-virtualhost

  2. 根据 ApigeeRouteConfig 确定 virtualhost 名称。

    ApigeeRouteConfig 的名称采用以下格式:<Apigee organization>-<virtualhost name>

    在此示例中,my-org 是 Apigee 组织,虚拟主机名为 my-virtualhost

  3. overrides.yaml 中找到相应的虚拟主机。

    virtualhosts:
    ...
    - name: my-virtualhost
      selector:
        app: apigee-ingressgateway
      caCertPath: ./certs/ca.pem
      sslCertPath: ./certs/vhost.pem
      sslKeyPath: ./certs/vhost.key
    ...
  4. 验证通过 caCertPath 中声明的路径提供的文件的内容。 确保内容包含所需的起始和结束证书块。例如:

    -----BEGIN CERTIFICATE-----
    MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL
    ... <contents omitted> ...
    eWJyaWQuZTJlLmFwaWdlZWtzLm5ldDCCASIwDQYJKoZIhvcNAQEBBQADggEPADCC
    MMM=
    -----END CERTIFICATE-----
  5. 文件内容和格式修复完成后,将更改应用于虚拟主机:

    helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
      --namespace apigee \
      --set envgroup=ENV_GROUP_NAME \
      -f overrides.yaml

原因:Ingress mTLS CA 证书的格式不正确

存储在 ApigeeRouteConfig 引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书的格式不正确。

诊断

运行以下命令:

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中,ISSUE_NAME 是问题的名称。例如:ca-cert-invalid-my-org-my-virtualhost

输出应类似如下所示:

Name:         ca-cert-invalid-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID
  Reason:         AIS_INGRESS_MTLS_CA_CERT_INVALID
  Severity:       ERROR
Events:           <none>
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid

Spec.Details 的内容说明了引用格式不正确且无法解析的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig 的名称。

解决方法

  1. 使用 kubectl describe 显示具有格式不正确的 Ingress mTLS CA 证书的 ApigeeRouteConfig 的名称:

    kubectl -n apigee describe apigeeissue ISSUE_NAME

    其中,ISSUE_NAME 是问题的名称。例如 ca-cert-invalid-my-org-my-virtualhost

    在此示例中,ApigeeRouteConfig my-org-my-virtualhost 引用了 Secret my-org-my-virtualhost

  2. 根据 ApigeeRouteConfig 确定 virtualhost 名称。

    ApigeeRouteConfig 的名称采用以下格式:<Apigee organization>-<virtualhost name>

    在此示例中,my-org 是 Apigee 组织,虚拟主机名为 my-virtualhost

  3. overrides.yaml 中找到相应的虚拟主机。

    virtualhosts:
    ...
    - name: my-virtualhost
      selector:
        app: apigee-ingressgateway
      caCertPath: ./certs/ca.pem
      sslCertPath: ./certs/vhost.pem
      sslKeyPath: ./certs/vhost.key
    ...
  4. 验证通过 caCertPath 中声明的路径提供的文件的内容。 确保内容包含整个证书。例如:

    -----BEGIN CERTIFICATE-----
    MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL
    BQAwQDE+MDwGA1UEAww1bWF4bWlsbGlvbi1oeWJyaWQtc3RhZ2luZy1kZXYuaHli
    ... <contents omitted> ...
    0TPPaik8U9dtFXMGT1DJkjPRPO0Jw5rlU8DKlNA/Kkv52aKJZNwB/cwmvoa/BFji
    PIPa9wY=
    -----END CERTIFICATE-----
  5. 文件内容和格式修复完成后,将更改应用于虚拟主机:

    helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
      --namespace apigee \
      --set envgroup=ENV_GROUP_NAME \
      -f overrides.yaml

必须收集的诊断信息

如果按照上述说明操作后问题仍然存在,请收集以下诊断信息,然后与 Apigee 支持团队联系:

  1. Google Cloud 项目 ID。
  2. Apigee Hybrid 组织的名称。
  3. ApigeeIssueSpec.Details 字段。
  4. (可选)caCertPath 为受影响的虚拟主机引用的文件。