Ingress mTLS CA 証明書が無効である

ここに表示されているのは、Apigee と Apigee ハイブリッドのドキュメントです。
このトピックに対応する Apigee Edge のドキュメントはありません。

症状

apigee Namespace のリソースを表示したときに、ApigeeIssue（Reason = AIS_INGRESS_MTLS_CA_CERT_INVALID）が表示されます。

エラーメッセージ

kubectl -n apigee get apigeeissues を実行すると、次のようなエラーが表示されます。

NAME                                    SEVERITY   REASON                             DOCUMENTATION                                                                                  AGE
ca-cert-invalid-my-org-my-virtualhost   ERROR      AIS_INGRESS_MTLS_CA_CERT_INVALID   https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID   5h18m

考えられる原因

原因	説明
Ingress mTLS CA 証明書が PEM エンコードされていない	構成された Ingress mTLS CA 証明書が PEM エンコードされていません。
Ingress mTLS CA 証明書が不正な形式である	構成された Ingress mTLS CA 証明書が不正な形式です。

原因: Ingress mTLS CA 証明書が PEM エンコードされていない

ApigeeRouteConfig によって参照される Kubernetes シークレットに格納されている ingress mTLS CA 証明書に、PEM エンコードのテキストブロックがありません（または、テキストブロックが不正です）。

診断

次のコマンドを実行します。

kubectl -n apigee describe apigeeissue ISSUE_NAME

ここで ISSUE_NAME は問題の名前です。例: ca-cert-invalid-my-org-my-virtualhost

出力は次のようになります。

Name:         ca-cert-invalid-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID
  Reason:         AIS_INGRESS_MTLS_CA_CERT_INVALID
  Severity:       ERROR
Events:           <none>

Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded

Spec.Details の内容は、PEM エンコードされていない Ingress mTLS CA 証明書を含む Kubernetes Secret を参照する ApigeeRouteConfig の名前について説明します。

解決策

kubectl describe を使用して、Ingress mTLS CA 証明書が PEM エンコードされていない ApigeeRouteConfig の名前を表示します。
```
kubectl -n apigee describe apigeeissue ISSUE_NAME
```
ここで ISSUE_NAME は問題の名前です。例: ca-cert-invalid-my-org-my-virtualhost。

この例では、ApigeeRouteConfig my-org-my-virtualhost が Secret my-org-my-virtualhost を参照しています。
ApigeeRouteConfig から virtualhost の名前を特定します。

ApigeeRouteConfig の名前は <Apigee organization>-<virtualhost name> の形式になっています。

この例では、Apigee 組織は my-org で、仮想ホスト名は my-virtualhost です。

overrides.yaml で、対応する仮想ホストを探します。

virtualhosts:
...
- name: my-virtualhost
  selector:
    app: apigee-ingressgateway
  caCertPath: ./certs/ca.pem
  sslCertPath: ./certs/vhost.pem
  sslKeyPath: ./certs/vhost.key
...

caCertPath で宣言されたパスを介して提供されたファイルの内容を検証します。コンテンツに、必要な開始証明書ブロックと終了証明書ブロックが含まれていることを確認します。次に例を示します。
```
-----BEGIN CERTIFICATE-----
MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL
... <contents omitted> ...
eWJyaWQuZTJlLmFwaWdlZWtzLm5ldDCCASIwDQYJKoZIhvcNAQEBBQADggEPADCC
MMM=
-----END CERTIFICATE-----
```
ヒント: openssl を使用して CA 証明書を検証します。

ファイルの内容と形式を修正したら、変更を仮想ホストに適用します。

helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
  --namespace apigee \
  --set envgroup=ENV_GROUP_NAME \
  -f overrides.yaml

原因: Ingress mTLS CA 証明書が不正な形式である

ApigeeRouteConfig によって参照される Kubernetes Secret に格納されている ingress mTLS CA 証明書が不正な形式です。

診断

次のコマンドを実行します。

kubectl -n apigee describe apigeeissue ISSUE_NAME

ここで ISSUE_NAME は問題の名前です。例: ca-cert-invalid-my-org-my-virtualhost

出力は次のようになります。

Name:         ca-cert-invalid-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID
  Reason:         AIS_INGRESS_MTLS_CA_CERT_INVALID
  Severity:       ERROR
Events:           <none>

Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid

Spec.Details の内容は、形式が不正で解析に失敗した Ingress mTLS CA 証明書を含む Kubernetes Secret を参照する ApigeeRouteConfig の名前について説明します。

解決策

kubectl describe を使用して、Ingress mTLS CA 証明書が不正な形式である ApigeeRouteConfig の名前を表示します。
```
kubectl -n apigee describe apigeeissue ISSUE_NAME
```
ここで ISSUE_NAME は問題の名前です。例: ca-cert-invalid-my-org-my-virtualhost。

この例では、ApigeeRouteConfig my-org-my-virtualhost が Secret my-org-my-virtualhost を参照しています。
ApigeeRouteConfig から virtualhost の名前を特定します。

ApigeeRouteConfig の名前は <Apigee organization>-<virtualhost name> の形式になっています。

この例では、Apigee 組織は my-org で、仮想ホスト名は my-virtualhost です。

overrides.yaml で、対応する仮想ホストを探します。

virtualhosts:
...
- name: my-virtualhost
  selector:
    app: apigee-ingressgateway
  caCertPath: ./certs/ca.pem
  sslCertPath: ./certs/vhost.pem
  sslKeyPath: ./certs/vhost.key
...

caCertPath で宣言されたパスを介して提供されたファイルの内容を検証します。内容に証明書全体が含まれていることを確認します。次に例を示します。

-----BEGIN CERTIFICATE-----
MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL
BQAwQDE+MDwGA1UEAww1bWF4bWlsbGlvbi1oeWJyaWQtc3RhZ2luZy1kZXYuaHli
... <contents omitted> ...
0TPPaik8U9dtFXMGT1DJkjPRPO0Jw5rlU8DKlNA/Kkv52aKJZNwB/cwmvoa/BFji
PIPa9wY=
-----END CERTIFICATE-----

ヒント: openssl を使用して CA 証明書を検証します。

ファイルの内容と形式を修正したら、変更を仮想ホストに適用します。

helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
  --namespace apigee \
  --set envgroup=ENV_GROUP_NAME \
  -f overrides.yaml

診断情報の収集が必要な場合

前述の手順を踏んでも問題が解決しない場合は、次の診断情報を収集して Google Cloud カスタマーケアにご連絡ください。

Google Cloud プロジェクト ID。
Apigee ハイブリッド組織の名前。
ApigeeIssue の Spec.Details フィールド。
（省略可）影響を受ける仮想ホストの caCertPath によって参照されているファイル。

Ingress mTLS CA 証明書が無効である

症状

エラー メッセージ

考えられる原因

原因: Ingress mTLS CA 証明書が PEM エンコードされていない

診断

解決策

原因: Ingress mTLS CA 証明書が不正な形式である

診断

解決策

診断情報の収集が必要な場合

エラーメッセージ