Ingress mTLS CA 证书无效

您正在查看 Apigee 和 Apigee Hybrid 文档。
此主题没有等效的 Apigee Edge 文档。

症状

查看 apigee 命名空间中的资源时，系统会显示 Reason 为 AIS_INGRESS_MTLS_CA_CERT_INVALID 的 ApigeeIssue。

错误消息

运行 kubectl -n apigee get apigeeissues 后，系统会显示如下错误： 

NAME                                    SEVERITY   REASON                             DOCUMENTATION                                                                                  AGE
ca-cert-invalid-my-org-my-virtualhost   ERROR      AIS_INGRESS_MTLS_CA_CERT_INVALID   https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID   5h18m

可能的原因

原因 说明
Ingress mTLS CA 证书未采用 PEM 编码 配置的 Ingress mTLS CA 证书未采用 PEM 编码。
Ingress mTLS CA 证书的格式不正确 配置的 Ingress mTLS CA 证书的格式不正确。

原因：Ingress mTLS CA 证书未采用 PEM 编码

存储在 ApigeeRouteConfig 引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书缺少 PEM 编码文本块（或格式不正确）。

诊断

运行以下命令： 

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中，ISSUE_NAME 是问题的名称。例如：ca-cert-invalid-my-org-my-virtualhost。

输出应类似如下所示： 

Name:         ca-cert-invalid-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID
  Reason:         AIS_INGRESS_MTLS_CA_CERT_INVALID
  Severity:       ERROR
Events:           <none>
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is not PEM encoded

Spec.Details 的内容说明了引用非 PEM 编码的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig 的名称。

解决方法

  1. 使用 kubectl describe 显示具有非 PEM 编码的 Ingress mTLS CA 证书的 ApigeeRouteConfig 的名称： 

    kubectl -n apigee describe apigeeissue ISSUE_NAME

    其中，ISSUE_NAME 是问题的名称。例如 ca-cert-invalid-my-org-my-virtualhost。

    在此示例中，ApigeeRouteConfig my-org-my-virtualhost 引用了 Secret my-org-my-virtualhost。

  2. 根据 ApigeeRouteConfig 确定 virtualhost 名称。

    ApigeeRouteConfig 的名称采用以下格式：<Apigee organization>-<virtualhost name>。

    在此示例中，my-org 是 Apigee 组织，虚拟主机名为 my-virtualhost。

  3. 在 overrides.yaml 中找到相应的虚拟主机。

    virtualhosts:
...
- name: my-virtualhost
  selector:
    app: apigee-ingressgateway
  caCertPath: ./certs/ca.pem
  sslCertPath: ./certs/vhost.pem
  sslKeyPath: ./certs/vhost.key
...

  4. 验证通过 caCertPath 中声明的路径提供的文件的内容。 确保内容包含所需的起始和结束证书块。例如： 

    -----BEGIN CERTIFICATE-----
MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL
... <contents omitted> ...
eWJyaWQuZTJlLmFwaWdlZWtzLm5ldDCCASIwDQYJKoZIhvcNAQEBBQADggEPADCC
MMM=
-----END CERTIFICATE-----

  5. 文件内容和格式修复完成后，将更改应用于虚拟主机： 

    helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
  --namespace apigee \
  --set envgroup=ENV_GROUP_NAME \
  -f overrides.yaml

原因：Ingress mTLS CA 证书的格式不正确

存储在 ApigeeRouteConfig 引用的 Kubernetes Secret 中的 Ingress mTLS CA 证书的格式不正确。

诊断

运行以下命令： 

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中，ISSUE_NAME 是问题的名称。例如：ca-cert-invalid-my-org-my-virtualhost。

输出应类似如下所示： 

Name:         ca-cert-invalid-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_INVALID
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_INVALID
  Reason:         AIS_INGRESS_MTLS_CA_CERT_INVALID
  Severity:       ERROR
Events:           <none>
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is invalid

Spec.Details 的内容说明了引用格式不正确且无法解析的 Ingress mTLS CA 证书所属 Kubernetes Secret 的 ApigeeRouteConfig 的名称。

解决方法

  1. 使用 kubectl describe 显示具有格式不正确的 Ingress mTLS CA 证书的 ApigeeRouteConfig 的名称： 

    kubectl -n apigee describe apigeeissue ISSUE_NAME

    其中，ISSUE_NAME 是问题的名称。例如 ca-cert-invalid-my-org-my-virtualhost。

    在此示例中，ApigeeRouteConfig my-org-my-virtualhost 引用了 Secret my-org-my-virtualhost。

  2. 根据 ApigeeRouteConfig 确定 virtualhost 名称。

    ApigeeRouteConfig 的名称采用以下格式：<Apigee organization>-<virtualhost name>。

    在此示例中，my-org 是 Apigee 组织，虚拟主机名为 my-virtualhost。

  3. 在 overrides.yaml 中找到相应的虚拟主机。

    virtualhosts:
...
- name: my-virtualhost
  selector:
    app: apigee-ingressgateway
  caCertPath: ./certs/ca.pem
  sslCertPath: ./certs/vhost.pem
  sslKeyPath: ./certs/vhost.key
...

  4. 验证通过 caCertPath 中声明的路径提供的文件的内容。 确保内容包含整个证书。例如： 

    -----BEGIN CERTIFICATE-----
MIIDYTCCAkmgAwIBAgIUSXeU0pQYRFzYlqZpKhNNJdBLFBIwDQYJKoZIhvcNAQEL
BQAwQDE+MDwGA1UEAww1bWF4bWlsbGlvbi1oeWJyaWQtc3RhZ2luZy1kZXYuaHli
... <contents omitted> ...
0TPPaik8U9dtFXMGT1DJkjPRPO0Jw5rlU8DKlNA/Kkv52aKJZNwB/cwmvoa/BFji
PIPa9wY=
-----END CERTIFICATE-----

  5. 文件内容和格式修复完成后，将更改应用于虚拟主机： 

    helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
  --namespace apigee \
  --set envgroup=ENV_GROUP_NAME \
  -f overrides.yaml

必须收集的诊断信息

如果按照上述说明操作后问题仍然存在，请收集以下诊断信息，然后与 Apigee 支持团队联系：

  1. Google Cloud 项目 ID。
  2. Apigee Hybrid 组织的名称。
  3. ApigeeIssue 的 Spec.Details 字段。
  4. （可选）caCertPath 为受影响的虚拟主机引用的文件。