Ingress 证书不匹配

您正在查看 Apigee 和 Apigee Hybrid 文档。
此主题没有等效的 Apigee Edge 文档。

症状

查看 apigee 命名空间中的资源时，系统会显示 Reason 为 AIS_INGRESS_CERT_MISMATCH 的 ApigeeIssue。

错误消息

运行 kubectl -n apigee get apigeeissues 后，系统会显示以下错误：

NAME                                          SEVERITY   REASON                      DOCUMENTATION                                                                           AGE
ingress-cert-mismatch-my-org-my-virtualhost   ERROR      AIS_INGRESS_CERT_MISMATCH   https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_CERT_MISMATCH   5h18m

原因：Ingress 证书不匹配

存储在 ApigeeRouteConfig 引用的 Kubernetes Secret 中的私钥和证书不匹配。

诊断

运行以下命令：

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中，ISSUE_NAME 是问题的名称。例如：ingress-cert-mismatch-my-org-my-virtualhost。

将会返回类似如下的内容：

Name:         ingress-cert-mismatch-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_CERT_MISMATCH
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        Ingress cert and private key in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" do not match
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_CERT_MISMATCH
  Reason:         AIS_INGRESS_CERT_MISMATCH
  Severity:       ERROR
Events:           <none>

Spec:
  Details:        Ingress cert and private key in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" do not match

Spec.Details 的内容说明了 ApigeeRouteConfig 的名称，该名称引用包含入站流量证书和私钥的 Kubernetes Secret。

解决方法

使用 kubectl describe 显示入站流量证书和密钥不匹配的 ApigeeRouteConfig 的名称：
```
kubectl -n apigee describe apigeeissue ISSUE_NAME
```
其中，ISSUE_NAME 是问题的名称。例如 ingress-cert-mismatch-my-org-my-virtualhost。

在此示例中，ApigeeRouteConfig my-org-my-virtualhost 引用了 Secret my-org-my-virtualhost。
根据 ApigeeRouteConfig 确定 virtualhost 名称。

ApigeeRouteConfig 的名称采用以下格式：<Apigee organization>-<virtualhost name>。

在此示例中，my-org 是 Apigee 组织，虚拟主机名为 my-virtualhost。

在 overrides.yaml 文件中找到相应的虚拟主机：

virtualhosts:
...
- name: my-virtualhost
  selector:
    app: apigee-ingressgateway
  sslCertPath: ./certs/vhost.pem
  sslKeyPath: ./certs/vhost.key
...

验证所使用的证书和密钥文件是否匹配。

使用上一步中的 sslCertPath 和 sslKeyPath，通过 openssl 验证 MD5 总和是否匹配：
```
openssl x509 -noout -modulus -in SSL_CERT_PATH | openssl md5
```
```
openssl rsa -noout -modulus -in SSL_KEY_PATH | openssl md5
```
- 其中，SSL_CERT_PATH 是上一步中的 sslCertPath。例如 ./certs/vhost.pem。
- 其中，SSL_KEY_PATH 是上一步中的 sslKeyPath。例如 ./certs/vhost.key。
上述两个命令的输出应一致：
```
openssl x509 -noout -modulus -in ./certs/vhost.pem | openssl md5
MD5(stdin)= 40ba189dbe9d6fbfbdde1a8ef803d2d4
```
```
openssl rsa -noout -modulus -in ./certs/vhost.key | openssl md5
MD5(stdin)= 40ba189dbe9d6fbfbdde1a8ef803d2d4
```
如果上述命令的输出不匹配，请使用以下方法之一来纠正问题：
- 更新虚拟主机的 sslCertPath 和 sslKeyPath 以指向正确的文件路径。
- 修复 sslCertPath 或 sslKeyPath 文件内容以包含正确的匹配证书和密钥对。

使用 Helm 将更改应用于虚拟主机：

helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
  --namespace APIGEE_NAMESPACE \
  --atomic \
  --set envgroup=ENV_GROUP_NAME \
  -f OVERRIDES_FILE

请务必包含所有显示的所有设置，包括 --atomic，以便在操作失败时进行回滚。

必须收集的诊断信息

如果按照上述说明操作后问题仍然存在，请收集以下诊断信息，然后与 Google Cloud Customer Care 联系：

Google Cloud 项目 ID。
Apigee Hybrid 组织的名称。
ApigeeIssue 的 Spec.Details 字段。
（可选）sslCertPath 和 sslKeyPath 为受影响的虚拟主机引用的文件。