您正在查看 Apigee 和 Apigee Hybrid 文档。
此主题没有等效的 Apigee Edge 文档。
症状
查看 apigee
命名空间中的资源时,系统会显示 Reason
为 AIS_INGRESS_CERT_MISMATCH
的 ApigeeIssue
。
错误消息
运行 kubectl -n apigee get apigeeissues
后,系统会显示以下错误:
NAME SEVERITY REASON DOCUMENTATION AGE ingress-cert-mismatch-my-org-my-virtualhost ERROR AIS_INGRESS_CERT_MISMATCH https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_CERT_MISMATCH 5h18m
原因:Ingress 证书不匹配
存储在 ApigeeRouteConfig
引用的 Kubernetes Secret 中的私钥和证书不匹配。
诊断
运行以下命令:
kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如:ingress-cert-mismatch-my-org-my-virtualhost
。
将会返回类似如下的内容:
Name: ingress-cert-mismatch-my-org-my-virtualhost Namespace: apigee Labels: ais-reason=AIS_INGRESS_CERT_MISMATCH Annotations: <none> API Version: apigee.cloud.google.com/v1alpha1 Kind: ApigeeIssue Metadata: Creation Timestamp: 2023-06-12T17:03:43Z Generation: 1 Owner References: API Version: apigee.cloud.google.com/v1alpha2 Kind: ApigeeOrganization Name: my-org UID: 7e83a52c-ce00-4bed-98be-55835ada1817 Resource Version: 3281563 UID: adc775c2-376d-4bf9-9860-500b2b2b8273 Spec: Details: Ingress cert and private key in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" do not match Documentation: https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_CERT_MISMATCH Reason: AIS_INGRESS_CERT_MISMATCH Severity: ERROR Events: <none>
Spec: Details: Ingress cert and private key in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" do not match
Spec.Details
的内容说明了 ApigeeRouteConfig
的名称,该名称引用包含入站流量证书和私钥的 Kubernetes Secret。
解决方法
-
使用
kubectl describe
显示入站流量证书和密钥不匹配的ApigeeRouteConfig
的名称:kubectl -n apigee describe apigeeissue ISSUE_NAME
其中,ISSUE_NAME 是问题的名称。例如
ingress-cert-mismatch-my-org-my-virtualhost
。在此示例中,
ApigeeRouteConfig
my-org-my-virtualhost
引用了 Secretmy-org-my-virtualhost
。 -
根据
ApigeeRouteConfig
确定virtualhost
名称。ApigeeRouteConfig
的名称采用以下格式:<Apigee organization>-<virtualhost name>
。在此示例中,
my-org
是 Apigee 组织,虚拟主机名为my-virtualhost
。 -
在
overrides.yaml
中找到相应的虚拟主机。virtualhosts: ... - name: my-virtualhost selector: app: apigee-ingressgateway sslCertPath: ./certs/vhost.pem sslKeyPath: ./certs/vhost.key ...
-
验证所使用的证书和密钥文件是否匹配。
使用上一步中的
sslCertPath
和sslKeyPath
,通过openssl
验证 MD5 总和是否匹配:openssl x509 -noout -modulus -in SSL_CERT_PATH | openssl md5
openssl rsa -noout -modulus -in SSL_KEY_PATH | openssl md5
-
其中,SSL_CERT_PATH 是上一步中的
sslCertPath
。例如./certs/vhost.pem
。 -
其中,SSL_KEY_PATH 是上一步中的
sslKeyPath
。例如./certs/vhost.key
。
上述两个命令的输出应匹配:
openssl x509 -noout -modulus -in ./certs/vhost.pem | openssl md5 MD5(stdin)= 40ba189dbe9d6fbfbdde1a8ef803d2d4
openssl rsa -noout -modulus -in ./certs/vhost.key | openssl md5 MD5(stdin)= 40ba189dbe9d6fbfbdde1a8ef803d2d4
-
其中,SSL_CERT_PATH 是上一步中的
-
如果上述命令的输出不匹配,请使用以下方法之一来纠正问题:
-
更新虚拟主机的
sslCertPath
和sslKeyPath
以指向正确的文件路径。 -
修复
sslCertPath
或sslKeyPath
文件内容以包含正确的匹配证书和密钥对。
-
更新虚拟主机的
-
将更改应用于虚拟主机:
Helm
helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \ --namespace apigee \ --set envgroup=ENV_GROUP_NAME \ -f overrides.yaml
apigeectl
apigeectl apply -f overrides.yaml --settings virtualhosts
必须收集的诊断信息
如果按照上述说明操作后问题仍然存在,请收集以下诊断信息,然后与 Google Cloud Customer Care 联系:
- Google Cloud 项目 ID。
- Apigee Hybrid 组织的名称。
ApigeeIssue
的Spec.Details
字段。-
(可选)
sslCertPath
和sslKeyPath
为受影响的虚拟主机引用的文件。