您正在查看 Apigee 和 Apigee Hybrid 文档。
此主题没有等效的 Apigee Edge 文档。
症状
查看 apigee
命名空间中的资源时,系统会显示 Reason
为 AIS_INGRESS_MTLS_CA_CERT_INVALID
的 ApigeeIssue
。
错误消息
运行 kubectl -n apigee get apigeeissues
后,系统会显示如下错误:
NAME SEVERITY REASON DOCUMENTATION AGE ca-cert-invalid-my-org-my-virtualhost ERROR AIS_INGRESS_MTLS_CA_CERT_INVALID https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID 5h18m
可能的原因
原因 | 说明 |
---|---|
Ingress mTLS CA 证书未采用 PEM 编码 | 配置的 Ingress mTLS CA 证书未采用 PEM 编码。 |
Ingress mTLS CA 证书的格式不正确 | 配置的 Ingress mTLS CA 证书的格式不正确。 |
原因:Ingress mTLS CA 证书未采用 PEM 编码
存储在 ApigeeRouteConfig
引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书缺少 PEM 编码文本块(或格式不正确)。
诊断
运行以下命令:
kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如:ca-cert-invalid-my-org-my-virtualhost
。
输出应类似如下所示:
Name: ca-cert-invalid-my-org-my-virtualhost Namespace: apigee Labels: ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID Annotations: <none> API Version: apigee.cloud.google.com/v1alpha1 Kind: ApigeeIssue Metadata: Creation Timestamp: 2023-06-12T17:03:43Z Generation: 1 Owner References: API Version: apigee.cloud.google.com/v1alpha2 Kind: ApigeeOrganization Name: my-org UID: 7e83a52c-ce00-4bed-98be-55835ada1817 Resource Version: 3281563 UID: adc775c2-376d-4bf9-9860-500b2b2b8273 Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded Documentation: https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID Reason: AIS_INGRESS_MTLS_CA_CERT_INVALID Severity: ERROR Events: <none>
Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded
Spec.Details
的内容说明了引用非 PEM 编码的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig
的名称。
解决方法
-
使用
kubectl describe
显示具有非 PEM 编码的 Ingress mTLS CA 证书的ApigeeRouteConfig
的名称:kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如
ca-cert-invalid-my-org-my-virtualhost
。在此示例中,
ApigeeRouteConfig
my-org-my-virtualhost
引用了 Secretmy-org-my-virtualhost
。 -
根据
ApigeeRouteConfig
确定virtualhost
名称。ApigeeRouteConfig
的名称采用以下格式:<Apigee organization>-<virtualhost name>
。在此示例中,
my-org
是 Apigee 组织,虚拟主机名为my-virtualhost
。 -
在
overrides.yaml
中找到相应的虚拟主机。virtualhosts: ... - name: my-virtualhost selector: app: apigee-ingressgateway caCertPath: ./certs/ca.pem sslCertPath: ./certs/vhost.pem sslKeyPath: ./certs/vhost.key ...
-
验证通过
caCertPath
中声明的路径提供的文件的内容。 确保内容包含所需的起始和结束证书块。例如:-----BEGIN CERTIFICATE----- MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL ... <contents omitted> ... eWJyaWQuZTJlLmFwaWdlZWtzLm5ldDCCASIwDQYJKoZIhvcNAQEBBQADggEPADCC MMM= -----END CERTIFICATE-----
-
文件内容和格式修复完成后,将更改应用于虚拟主机:
helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \ --namespace apigee \ --set envgroup=ENV_GROUP_NAME \ -f overrides.yaml
原因:Ingress mTLS CA 证书的格式不正确
存储在 ApigeeRouteConfig
引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书的格式不正确。
诊断
运行以下命令:
kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如:ca-cert-invalid-my-org-my-virtualhost
。
输出应类似如下所示:
Name: ca-cert-invalid-my-org-my-virtualhost Namespace: apigee Labels: ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID Annotations: <none> API Version: apigee.cloud.google.com/v1alpha1 Kind: ApigeeIssue Metadata: Creation Timestamp: 2023-06-12T17:03:43Z Generation: 1 Owner References: API Version: apigee.cloud.google.com/v1alpha2 Kind: ApigeeOrganization Name: my-org UID: 7e83a52c-ce00-4bed-98be-55835ada1817 Resource Version: 3281563 UID: adc775c2-376d-4bf9-9860-500b2b2b8273 Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid Documentation: https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID Reason: AIS_INGRESS_MTLS_CA_CERT_INVALID Severity: ERROR Events: <none>
Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid
Spec.Details
的内容说明了引用格式不正确且无法解析的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig
的名称。
解决方法
-
使用
kubectl describe
显示具有格式不正确的 Ingress mTLS CA 证书的ApigeeRouteConfig
的名称:kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如
ca-cert-invalid-my-org-my-virtualhost
。在此示例中,
ApigeeRouteConfig
my-org-my-virtualhost
引用了 Secretmy-org-my-virtualhost
。 -
根据
ApigeeRouteConfig
确定virtualhost
名称。ApigeeRouteConfig
的名称采用以下格式:<Apigee organization>-<virtualhost name>
。在此示例中,
my-org
是 Apigee 组织,虚拟主机名为my-virtualhost
。 -
在
overrides.yaml
中找到相应的虚拟主机。virtualhosts: ... - name: my-virtualhost selector: app: apigee-ingressgateway caCertPath: ./certs/ca.pem sslCertPath: ./certs/vhost.pem sslKeyPath: ./certs/vhost.key ...
-
验证通过
caCertPath
中声明的路径提供的文件的内容。 确保内容包含整个证书。例如:-----BEGIN CERTIFICATE----- MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL BQAwQDE+MDwGA1UEAww1bWF4bWlsbGlvbi1oeWJyaWQtc3RhZ2luZy1kZXYuaHli ... <contents omitted> ... 0TPPaik8U9dtFXMGT1DJkjPRPO0Jw5rlU8DKlNA/Kkv52aKJZNwB/cwmvoa/BFji PIPa9wY= -----END CERTIFICATE-----
-
文件内容和格式修复完成后,将更改应用于虚拟主机:
helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \ --namespace apigee \ --set envgroup=ENV_GROUP_NAME \ -f overrides.yaml
必须收集的诊断信息
如果按照上述说明操作后问题仍然存在,请收集以下诊断信息,然后与 Apigee 支持团队联系:
- Google Cloud 项目 ID。
- Apigee Hybrid 组织的名称。
ApigeeIssue
的Spec.Details
字段。-
(可选)
caCertPath
为受影响的虚拟主机引用的文件。