ここに表示されているのは、Apigee と Apigee ハイブリッドのドキュメントです。
このトピックに対応する Apigee Edge のドキュメントはありません。
症状
apigee Namespace のリソースを表示したときに、ApigeeIssue（Reason = AIS_INGRESS_MTLS_CA_CERT_INVALID）が表示されます。
エラー メッセージ
kubectl -n apigee get apigeeissues を実行すると、次のようなエラーが表示されます。
NAME SEVERITY REASON DOCUMENTATION AGE ca-cert-invalid-my-org-my-virtualhost ERROR AIS_INGRESS_MTLS_CA_CERT_INVALID https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID 5h18m
考えられる原因
| 原因 | 説明 |
|---|---|
| Ingress mTLS CA 証明書が PEM エンコードされていない | 構成された Ingress mTLS CA 証明書が PEM エンコードされていません。 |
| Ingress mTLS CA 証明書が不正な形式である | 構成された Ingress mTLS CA 証明書が不正な形式です。 |
原因: Ingress mTLS CA 証明書が PEM エンコードされていない
ApigeeRouteConfig によって参照される Kubernetes シークレットに格納されている ingress mTLS CA 証明書に、PEM エンコードのテキスト ブロックがありません（または、テキスト ブロックが不正です）。
診断
次のコマンドを実行します。
kubectl -n apigee describe apigeeissue ISSUE_NAME
ここで ISSUE_NAME は問題の名前です。例: ca-cert-invalid-my-org-my-virtualhost
出力は次のようになります。
Name: ca-cert-invalid-my-org-my-virtualhost
Namespace: apigee
Labels: ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID
Annotations: <none>
API Version: apigee.cloud.google.com/v1alpha1
Kind: ApigeeIssue
Metadata:
Creation Timestamp: 2023-06-12T17:03:43Z
Generation: 1
Owner References:
API Version: apigee.cloud.google.com/v1alpha2
Kind: ApigeeOrganization
Name: my-org
UID: 7e83a52c-ce00-4bed-98be-55835ada1817
Resource Version: 3281563
UID: adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded
Documentation: https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID
Reason: AIS_INGRESS_MTLS_CA_CERT_INVALID
Severity: ERROR
Events: <none>
Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded
Spec.Details の内容は、PEM エンコードされていない Ingress mTLS CA 証明書を含む Kubernetes Secret を参照する ApigeeRouteConfig の名前について説明します。
解決策
-
kubectl describeを使用して、Ingress mTLS CA 証明書が PEM エンコードされていないApigeeRouteConfigの名前を表示します。kubectl -n apigee describe apigeeissue ISSUE_NAME
ここで ISSUE_NAME は問題の名前です。例:
ca-cert-invalid-my-org-my-virtualhost。この例では、
ApigeeRouteConfigmy-org-my-virtualhostが Secretmy-org-my-virtualhostを参照しています。 -
ApigeeRouteConfigからvirtualhostの名前を特定します。ApigeeRouteConfigの名前は<Apigee organization>-<virtualhost name>の形式になっています。この例では、Apigee 組織は
my-orgで、仮想ホスト名はmy-virtualhostです。 -
overrides.yamlで、対応する仮想ホストを探します。virtualhosts: ... - name: my-virtualhost selector: app: apigee-ingressgateway caCertPath: ./certs/ca.pem sslCertPath: ./certs/vhost.pem sslKeyPath: ./certs/vhost.key ... -
caCertPathで宣言されたパスを介して提供されたファイルの内容を検証します。コンテンツに、必要な開始証明書ブロックと終了証明書ブロックが含まれていることを確認します。次に例を示します。-----BEGIN CERTIFICATE----- MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL ... <contents omitted> ... eWJyaWQuZTJlLmFwaWdlZWtzLm5ldDCCASIwDQYJKoZIhvcNAQEBBQADggEPADCC MMM= -----END CERTIFICATE-----
-
ファイルの内容と形式を修正したら、変更を仮想ホストに適用します。
helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \ --namespace apigee \ --set envgroup=ENV_GROUP_NAME \ -f overrides.yaml
原因: Ingress mTLS CA 証明書が不正な形式である
ApigeeRouteConfig によって参照される Kubernetes Secret に格納されている ingress mTLS CA 証明書が不正な形式です。
診断
次のコマンドを実行します。
kubectl -n apigee describe apigeeissue ISSUE_NAME
ここで ISSUE_NAME は問題の名前です。例: ca-cert-invalid-my-org-my-virtualhost
出力は次のようになります。
Name: ca-cert-invalid-my-org-my-virtualhost
Namespace: apigee
Labels: ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID
Annotations: <none>
API Version: apigee.cloud.google.com/v1alpha1
Kind: ApigeeIssue
Metadata:
Creation Timestamp: 2023-06-12T17:03:43Z
Generation: 1
Owner References:
API Version: apigee.cloud.google.com/v1alpha2
Kind: ApigeeOrganization
Name: my-org
UID: 7e83a52c-ce00-4bed-98be-55835ada1817
Resource Version: 3281563
UID: adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid
Documentation: https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID
Reason: AIS_INGRESS_MTLS_CA_CERT_INVALID
Severity: ERROR
Events: <none>
Spec: Details: CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid
Spec.Details の内容は、形式が不正で解析に失敗した Ingress mTLS CA 証明書を含む Kubernetes Secret を参照する ApigeeRouteConfig の名前について説明します。
解決策
-
kubectl describeを使用して、Ingress mTLS CA 証明書が不正な形式であるApigeeRouteConfigの名前を表示します。kubectl -n apigee describe apigeeissue ISSUE_NAME
ここで ISSUE_NAME は問題の名前です。例:
ca-cert-invalid-my-org-my-virtualhost。この例では、
ApigeeRouteConfigmy-org-my-virtualhostが Secretmy-org-my-virtualhostを参照しています。 -
ApigeeRouteConfigからvirtualhostの名前を特定します。ApigeeRouteConfigの名前は<Apigee organization>-<virtualhost name>の形式になっています。この例では、Apigee 組織は
my-orgで、仮想ホスト名はmy-virtualhostです。 -
overrides.yamlで、対応する仮想ホストを探します。virtualhosts: ... - name: my-virtualhost selector: app: apigee-ingressgateway caCertPath: ./certs/ca.pem sslCertPath: ./certs/vhost.pem sslKeyPath: ./certs/vhost.key ... -
caCertPathで宣言されたパスを介して提供されたファイルの内容を検証します。内容に証明書全体が含まれていることを確認します。次に例を示します。-----BEGIN CERTIFICATE----- MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL BQAwQDE+MDwGA1UEAww1bWF4bWlsbGlvbi1oeWJyaWQtc3RhZ2luZy1kZXYuaHli ... <contents omitted> ... 0TPPaik8U9dtFXMGT1DJkjPRPO0Jw5rlU8DKlNA/Kkv52aKJZNwB/cwmvoa/BFji PIPa9wY= -----END CERTIFICATE-----
-
ファイルの内容と形式を修正したら、変更を仮想ホストに適用します。
helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \ --namespace apigee \ --set envgroup=ENV_GROUP_NAME \ -f overrides.yaml
診断情報の収集が必要な場合
前述の手順を踏んでも問題が解決しない場合は、次の診断情報を収集して Google Cloud カスタマーケアにご連絡ください。
- Google Cloud プロジェクト ID。
- Apigee ハイブリッド組織の名前。
ApigeeIssueのSpec.Detailsフィールド。-
（省略可）影響を受ける仮想ホストの
caCertPathによって参照されているファイル。