Ingress 证书不匹配

您正在查看 ApigeeApigee Hybrid 文档。
此主题没有等效的 Apigee Edge 文档。

症状

查看 apigee 命名空间中的资源时,系统会显示 ReasonAIS_INGRESS_CERT_MISMATCHApigeeIssue

错误消息

运行 kubectl -n apigee get apigeeissues 后,系统会显示以下错误:

NAME                                          SEVERITY   REASON                      DOCUMENTATION                                                                           AGE
ingress-cert-mismatch-my-org-my-virtualhost   ERROR      AIS_INGRESS_CERT_MISMATCH   https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_CERT_MISMATCH   5h18m

原因:Ingress 证书不匹配

存储在 ApigeeRouteConfig 引用的 Kubernetes Secret 中的私钥和证书不匹配。

诊断

运行以下命令:

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中,ISSUE_NAME 是问题的名称。例如:ingress-cert-mismatch-my-org-my-virtualhost

将会返回类似如下的内容:

Name:         ingress-cert-mismatch-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_CERT_MISMATCH
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        Ingress cert and private key in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" do not match
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_CERT_MISMATCH
  Reason:         AIS_INGRESS_CERT_MISMATCH
  Severity:       ERROR
Events:           <none>
Spec:
  Details:        Ingress cert and private key in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" do not match

Spec.Details 的内容说明了 ApigeeRouteConfig 的名称,该名称引用包含入站流量证书和私钥的 Kubernetes Secret。

解决方法

  1. 使用 kubectl describe 显示入站流量证书和密钥不匹配的 ApigeeRouteConfig 的名称:

    kubectl -n apigee describe apigeeissue ISSUE_NAME

    其中,ISSUE_NAME 是问题的名称。例如 ingress-cert-mismatch-my-org-my-virtualhost

    在此示例中,ApigeeRouteConfig my-org-my-virtualhost 引用了 Secret my-org-my-virtualhost

  2. 根据 ApigeeRouteConfig 确定 virtualhost 名称。

    ApigeeRouteConfig 的名称采用以下格式:<Apigee organization>-<virtualhost name>

    在此示例中,my-org 是 Apigee 组织,虚拟主机名为 my-virtualhost

  3. overrides.yaml 中找到相应的虚拟主机。

    virtualhosts:
    ...
    - name: my-virtualhost
      selector:
        app: apigee-ingressgateway
      sslCertPath: ./certs/vhost.pem
      sslKeyPath: ./certs/vhost.key
    ...
  4. 验证所使用的证书和密钥文件是否匹配。

    使用上一步中的 sslCertPathsslKeyPath,通过 openssl 验证 MD5 总和是否匹配:

    openssl x509 -noout -modulus -in SSL_CERT_PATH | openssl md5
    openssl rsa -noout -modulus -in SSL_KEY_PATH | openssl md5

    • 其中,SSL_CERT_PATH 是上一步中的 sslCertPath。例如 ./certs/vhost.pem
    • 其中,SSL_KEY_PATH 是上一步中的 sslKeyPath。例如 ./certs/vhost.key

    上述两个命令的输出应匹配:

    openssl x509 -noout -modulus -in ./certs/vhost.pem | openssl md5
    MD5(stdin)= 40ba189dbe9d6fbfbdde1a8ef803d2d4
    openssl rsa -noout -modulus -in ./certs/vhost.key | openssl md5
    MD5(stdin)= 40ba189dbe9d6fbfbdde1a8ef803d2d4
  5. 如果上述命令的输出不匹配,请使用以下方法之一来纠正问题:

    • 更新虚拟主机的 sslCertPathsslKeyPath 以指向正确的文件路径。
    • 修复 sslCertPathsslKeyPath 文件内容以包含正确的匹配证书和密钥对。
  6. 将更改应用于虚拟主机:

    Helm

    helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
      --namespace apigee \
      --set envgroup=ENV_GROUP_NAME \
      -f overrides.yaml

    apigeectl

    apigeectl apply -f overrides.yaml --settings virtualhosts

必须收集的诊断信息

如果按照上述说明操作后问题仍然存在,请收集以下诊断信息,然后与 Google Cloud Customer Care 联系:

  1. Google Cloud 项目 ID。
  2. Apigee Hybrid 组织的名称。
  3. ApigeeIssueSpec.Details 字段。
  4. (可选)sslCertPathsslKeyPath 为受影响的虚拟主机引用的文件。