Questa pagina è stata tradotta dall'API Cloud Translation.

Risoluzione dei problemi relativi ai certificati SSL
Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Le procedure di risoluzione dei problemi dipendono dal tipo di certificati SSL utilizzati.

Risolvere i problemi relativi ai certificati gestiti da Google

Per i certificati gestiti da Google, esistono due tipi di stato:

Stato gestito
Stato dominio

Stato gestito

Per controllare lo stato del certificato, esegui il seguente comando:

gcloud compute ssl-certificates describe CERTIFICATE_NAME \
    --global \
    --format="get(name,managed.status)"

I valori per lo stato gestito sono i seguenti:

Stato gestito	Spiegazione
`PROVISIONING`	Il certificato gestito da Google è stato creato e Google Cloud è in corso la collaborazione con l'autorità di certificazione per la firma. Il provisioning di un certificato gestito da Google potrebbe richiedere fino a 60 minuti dal momento in cui le modifiche alla configurazione del DNS e del bilanciatore del carico sono state propagate su internet. Se hai aggiornato di recente la configurazione DNS, potrebbe essere necessario molto tempo per la propagazione completa delle modifiche. A volte la propagazione richiede fino a 72 ore in tutto il mondo, anche se in genere sono necessarie poche ore. Per ulteriori informazioni sulla propagazione DNS, consulta Propagazione delle modifiche. Se il certificato rimane nello stato `PROVISIONING`, assicurati che al proxy di destinazione sia associato il certificato corretto. Per verificare, esegui il comando `gcloud compute target-https-proxies describe` o `gcloud compute target-ssl-proxies describe`.
`ACTIVE`	Il certificato SSL gestito da Google è ottenuto dall'autorità di certificazione. Potrebbero essere necessari altri 30 minuti prima che sia possibile utilizzarlo da parte di un bilanciatore del carico.
`PROVISIONING_FAILED`	Potresti visualizzare brevemente `PROVISIONING_FAILED` anche se il tuo certificato è effettivamente `ACTIVE`. Ricontrolla lo stato. Se lo stato rimane `PROVISIONING_FAILED`, il certificato gestito da Google è stato creato, ma l'autorità di certificazione non può firmarlo. Assicurati di aver completato tutti i passaggi descritti in Utilizzo di certificati SSL gestiti da Google. Google Cloud tenta il provisioning finché non va a buon fine o lo stato non diventa `PROVISIONING_FAILED_PERMANENTLY`.
`PROVISIONING_FAILED_PERMANENTLY`	Il certificato gestito da Google è stato creato, ma l'autorità di certificazione non può firmarlo a causa di un problema con la configurazione DNS o del bilanciatore del carico. In questo stato, Google Cloud non riprova a eseguire il provisioning. Crea un certificato SSL gestito da Google sostitutivo e assicurati che il certificato sostitutivo sia associato al proxy di destinazione del bilanciatore del carico. Verifica o completa tutti i passaggi descritti in Utilizzo di certificati SSL gestiti da Google. Successivamente, puoi eliminare il certificato di cui il provisioning non è andato a buon fine definitivamente.
`RENEWAL_FAILED`	Il rinnovo del certificato gestito da Google non è riuscito a causa di un problema con la configurazione DNS o del bilanciatore del carico. Se uno dei domini o sottodomini in un certificato gestito non punta all'indirizzo IP del bilanciatore del carico utilizzando un record A/AAAA, la procedura di rinnovo non va a buon fine. Il certificato esistente continua a essere pubblicato, ma scade a breve. Controlla la configurazione. Se lo stato rimane `RENEWAL_FAILED`, esegui il provisioning di un nuovo certificato, passa all'utilizzo del nuovo certificato ed elimina il certificato precedente. Per ulteriori informazioni sul rinnovo dei certificati, consulta Rinnovare i certificati SSL gestiti da Google.

Stato dominio

Per controllare lo stato del dominio, esegui il seguente comando:

gcloud compute ssl-certificates describe CERTIFICATE_NAME \
    --global \
    --format="get(managed.domainStatus)"

I valori per lo stato del dominio sono descritti in questa tabella.

Stato dominio	Spiegazione
`PROVISIONING`	Il certificato gestito da Google viene creato per il dominio. Google Cloud sta collaborando con l'autorità di certificazione per firmare il certificato.
`ACTIVE`	Il dominio è stato convalidato per il provisioning del certificato. Se il certificato SSL è per più domini, il provisioning del certificato può essere eseguito solo quando tutti i domini hanno lo stato `ACTIVE` e anche lo stato gestito del certificato è `ACTIVE`.
`FAILED_NOT_VISIBLE`	Il provisioning del certificato non è stato completato per il dominio. Il problema potrebbe essere uno dei seguenti: Il record DNS del dominio non risolve nell'indirizzo IP del Google Cloud bilanciatore del carico. Per risolvere il problema, aggiorna i record DNS A e AAAA in modo che rimandino all'indirizzo IP del bilanciatore del carico. Il DNS non deve risolvere in un indirizzo IP diverso da quello del bilanciatore del carico. Ad esempio, se un record A risolve nel bilanciatore del carico corretto, ma il record AAAA risolve in un altro valore, lo stato del dominio è `FAILED_NOT_VISIBLE`. La propagazione completa dei record DNS A e AAAA appena aggiornati può richiedere molto tempo. A volte la propagazione su internet richiede fino a 72 ore in tutto il mondo, anche se in genere sono necessarie solo alcune ore. Lo stato del dominio rimane `FAILED_NOT_VISIBLE` fino al completamento della propagazione. Il certificato SSL non è collegato al proxy di destinazione del bilanciatore del carico. Per risolvere questo problema, aggiorna la configurazione del bilanciatore del carico. Le porte frontend per la regola di inoltro globale non includono la porta 443 per un bilanciatore del carico di rete proxy esterno con un proxy SSL. Il problema può essere risolto aggiungendo una nuova regola di inoltro con la porta 443. Una mappa di certificati di Gestore certificati è collegata al proxy di destinazione. La mappa dei certificati allegati ha la precedenza e i certificati allegati direttamente vengono ignorati. Il problema può essere risolto scollegando la mappa dei certificati dal proxy. Se lo stato gestito è `PROVISIONING`, Google Cloud continua a riprovare a eseguire il provisioning, anche se lo stato del dominio è `FAILED_NOT_VISIBLE`.
`FAILED_CAA_CHECKING`	Il provisioning del certificato non è riuscito a causa di un problema di configurazione con il record CAA del tuo dominio. Assicurati di aver seguito la procedura corretta.
`FAILED_CAA_FORBIDDEN`	Il provisioning del certificato non è riuscito perché il record CAA del dominio non specifica una CA che Google Cloud deve essere utilizzata. Assicurati di aver seguito la procedura corretta.
`FAILED_RATE_LIMITED`	Il provisioning del certificato non è riuscito perché un'autorità di certificazione ha richieste di firma di certificati con limitazione di frequenza. Puoi eseguire il provisioning di un nuovo certificato, passare all'utilizzo del nuovo certificato ed eliminare il certificato precedente oppure puoi contattare Google Cloud l'assistenza.

Rinnovo dei certificati gestiti

Per assicurarti che i certificati non non superino il passaggio di convalida del dominio del procedura di rinnovo, consulta i requisiti per i record DNS A e AAAA.

Convalida del dominio da più punti di vista

Google Cloud rinnova periodicamente i certificati gestiti da Google richiedendoli alle autorità di certificazione (CA). Le CA con cuiGoogle Cloud collabora per rinnovare i certificati utilizzano un metodo di convalida del dominio multi-prospettiva noto come Multi-Perspective Issuance Corroboration (MPIC). Nell'ambito di questa procedura, le autorità di certificazione verificano il controllo del dominio controllando le impostazioni DNS del dominio e tentando di contattare il server dietro l'indirizzo IP del dominio. Queste verifiche vengono eseguite da più punti di vista su internet. Se la procedura di convalida non va a buon fine, il rinnovo dei certificati gestiti da Google non va a buon fine. Di conseguenza, il bilanciatore del carico fornisce ai client un certificato scaduto, inducendo gli utenti del browser a riscontrare errori del certificato e i client API a verificare errori di connessione.

Per evitare errori di convalida del dominio multi-prospettiva per i record DNS configurati in modo errato, tieni presente quanto segue:

I record DNS A (IPv4) e DNS AAAA (IPv6) per i tuoi domini e eventuali sottodomini devono puntare soltanto all'indirizzo IP o agli indirizzi IP associati alla regola o alle regole di inoltro del bilanciatore del carico. L'esistenza di altri indirizzi nel record può causare il fallimento della convalida.
La CA, che esegue la convalida dei record DNS, esegue query su questi record da più posizioni. Assicurati che il tuo provider DNS risponda in modo coerente a tutte le richieste di convalida del dominio globale.
L'utilizzo di GeoDNS (che restituisce indirizzi IP diversi in base alla località della richiesta) o di criteri DNS basati sulla posizione può portare a risposte incoerenti e causare l'errore di convalida. Se il tuo provider DNS utilizza GeoDNS, disattivalo oppure assicurati che tutte le regioni restituiscano lo stesso indirizzo IP del bilanciatore del carico.
Devi specificare esplicitamente gli indirizzi IP del bilanciatore del carico nella configurazione DNS. I livelli intermedi, come una CDN, possono causare comportamenti imprevedibili. L'indirizzo IP deve essere direttamente accessibile senza reindirizzamenti, firewall o CDN nel percorso della richiesta. Per saperne di più, consulta la sezione Bilanciatori del carico dietro una CDN di questo documento.
Ti consigliamo di utilizzare uno strumento di controllo della propagazione DNS globale di tua scelta per verificare che tutti i record DNS pertinenti vengano risolti correttamente e in modo coerente in tutto il mondo.

Verificare le modifiche alla configurazione

Dopo aver configurato i record DNS, puoi verificare che siano corretti creando un nuovo certificato e collegandolo al bilanciatore del carico insieme al certificato esistente. Questo passaggio forza un controllo immediato del provisioning dei certificati con l'autorità di certificazione, consentendoti di verificare le modifiche alla configurazione in pochi minuti. In caso contrario, i rinnovi automatici del certificato esistente possono richiedere giorni o settimane, lasciando incertezza sulla configurazione.

Se lo stato del certificato diventa ACTIVE, indica che il certificato è stato emesso, confermando che la configurazione DNS è corretta. A questo punto, ti consigliamo di rimuovere il certificato precedente per evitare di avere due certificati distinti per lo stesso dominio. Questa procedura non interrompe il traffico verso il bilanciatore del carico.

Il nuovo certificato funge da strumento di convalida: la sua creazione conferma che la convalida del dominio multiprospettiva che utilizza MPIC funziona correttamente per la tua configurazione.

Bilanciatori del carico dietro una CDN

Per i bilanciatori del carico in cui è abilitata la CDN, alcuni fornitori di CDN di terze parti nel percorso della richiesta potrebbero impedire il buon esito delle richieste di convalida. Questo può accadere se il provider CDN esegue attivamente il proxy del traffico HTTP(S).

In questi casi, ti consigliamo di eseguire la migrazione dei certificati a Gestore dei certificati e di utilizzare il metodo di autorizzazione DNS per eseguire il provisioning dei certificati gestiti da Google. Quest'ultimo approccio non richiede all'CA di contattare il bilanciatore del carico.

Risolvere i problemi relativi ai certificati SSL autogestiti

Questa guida descrive come risolvere i problemi di configurazione per i certificati SSL autogestiti.

Impossibile analizzare il certificato

Google Cloud richiede certificati in formato PEM. Se il certificato è in formato PEM, controlla quanto segue:

Puoi convalidare il certificato utilizzando il seguente comando OpenSSL, sostituendo CERTIFICATE_FILE con il percorso del file del certificato:

openssl x509 -in CERTIFICATE_FILE -text -noout

Se OpenSSL non è in grado di analizzare il certificato:

Contatta la tua CA per ricevere assistenza.
Crea una nuova chiave privata e un nuovo certificato.

Nome comune o nome alternativo del soggetto mancante

Google Cloud richiede che il certificato abbia o un attributo nome comune (CN) o nome alternativo dell'oggetto (SAN). Per ulteriori informazioni, consulta Creare un CSR.

Quando entrambi gli attributi sono assenti, Google Cloud viene visualizzato un messaggio di errore come il seguente quando provi a creare un certificato autogestito:

ERROR: (gcloud.compute.ssl-certificates.create) Could not fetch resource:
 -   The SSL certificate is missing a Common Name(CN) or Subject Alternative
   Name(SAN).

Impossibile analizzare la chiave privata

Google Cloud richiede chiavi private in formato PEM che soddisfino i criteri delle chiavi private.

Puoi convalidare la tua chiave privata utilizzando il seguente comando OpenSSL, sostituendoPRIVATE_KEY_FILE con il percorso della chiave privata:

    openssl rsa -in PRIVATE_KEY_FILE -check

Le seguenti risposte indicano un problema con la chiave privata:

unable to load Private Key
Expecting: ANY PRIVATE KEY
RSA key error: n does not equal p q
RSA key error: d e not congruent to 1
RSA key error: dmp1 not congruent to d
RSA key error: dmq1 not congruent to d
RSA key error: iqmp not inverse of q

Per risolvere il problema, devi creare una nuova chiave privata e un nuovo certificato.

Chiavi private con passphrase

Se OpenSSL richiede una passphrase, dovrai rimuoverla dalla chiave privata prima di poterla utilizzare con Google Cloud. Puoi utilizzare il seguente comando OpenSSL:

openssl rsa -in PRIVATE_KEY_FILE \
    -out REPLACEMENT_PRIVATE_KEY_FILE

Sostituisci i segnaposto con valori validi:

PRIVATE_KEY_FILE: il percorso della chiave privata protetta con una passphrase
REPLACEMENT_PRIVATE_KEY_FILE: il percorso in cui vuoi salvare una copia della chiave privata in testo normale

Certificati intermedi in scadenza

Se un certificato intermedio scade prima del certificato del server (a livello inferiore), potrebbe indicare che la tua CA non segue le best practice.

Quando un certificato intermedio scade, il certificato finale utilizzato in Google Cloud potrebbe diventare non valido. Questo dipende dal client SSL, come segue:

Alcuni client SSL esaminano solo la data di scadenza del certificato finale e ignorano i certificati intermedi scaduti.
Alcuni client SSL trattano una catena con certificati intermedi scaduti come non valida e mostrano un avviso.

Per risolvere il problema:

Attendi che la CA passi a un nuovo certificato intermedio.
Richiedi un nuovo certificato.
Ricarica il nuovo certificato con le nuove chiavi.

La tua CA potrebbe anche consentire la firma tra certificati per i certificati intermedi. Rivolgiti al tuo CA per conferma.

L'esponente pubblico RSA è troppo grande

Quando l'esponente pubblico RSA è maggiore di 65537, viene visualizzato il seguente messaggio di errore. Assicurati di utilizzare 65537, come specificato nella RFC 4871.

ERROR: (gcloud.compute.ssl-certificates.create) Could not fetch resource:
 -   The RSA public exponent is too large.

Rimuovi il certificato SSL dal proxy target

I passaggi riportati di seguito mostrano come rimuovere un singolo certificato SSL associato al proxy https di destinazione:

Esporta il proxy https target in un file temporaneo.

gcloud compute target-https-proxies export TARGET_PROXY_NAME > /tmp/proxy

Modifica il file /tmp/proxy e rimuovi le seguenti righe:

sslCertificates:
-   https://www.googleapis.com/compute/v1/projects/...

Importa il file /tmp/proxy.

gcloud compute target-https-proxies import TARGET_PROXY_NAME \
   --source=/tmp/proxy

(Facoltativo) Elimina il certificato SSL.

gcloud compute ssl-certificates delete SSL_CERT_NAME

Sostituisci quanto segue:

TARGET_PROXY_NAME: il nome della risorsa proxy https target.
SSL_CERT_NAME: il nome del certificato SSL.

Risoluzione dei problemi relativi ai certificati SSL Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.