Ingress 憑證不符

您正在查看 Apigee 和 Apigee Hybrid 說明文件。
這個主題沒有對應的 Apigee Edge 說明文件。

問題

查看 apigee 命名空間中的資源時，會顯示含有 Reason AIS_INGRESS_CERT_MISMATCH 的 ApigeeIssue。

錯誤訊息

執行 kubectl -n apigee get apigeeissues 後，系統會顯示以下錯誤：

NAME                                          SEVERITY   REASON                      DOCUMENTATION                                                                           AGE
ingress-cert-mismatch-my-org-my-virtualhost   ERROR      AIS_INGRESS_CERT_MISMATCH   https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_CERT_MISMATCH   5h18m

原因：Ingress 憑證不符

ApigeeRouteConfig 參照的 Kubernetes 機密金鑰中儲存的私密金鑰和憑證不符。

診斷

請執行下列指令：

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中 ISSUE_NAME 是問題名稱。例如：ingress-cert-mismatch-my-org-my-virtualhost。

系統會傳回類似以下的內容：

Name:         ingress-cert-mismatch-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_CERT_MISMATCH
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        Ingress cert and private key in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" do not match
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_CERT_MISMATCH
  Reason:         AIS_INGRESS_CERT_MISMATCH
  Severity:       ERROR
Events:           <none>
 
Spec:
  Details:        Ingress cert and private key in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" do not match

Spec.Details 的內容會說明 ApigeeRouteConfig 的名稱，該名稱會參照包含入口憑證和私密金鑰的 Kubernetes 密鑰。

解決方法

  1. 使用 kubectl describe 顯示 ApigeeRouteConfig 的名稱，該名稱包含不相符的入口憑證和金鑰：

    kubectl -n apigee describe apigeeissue ISSUE_NAME

    其中 ISSUE_NAME 是問題名稱。例如 ingress-cert-mismatch-my-org-my-virtualhost。

    在這個範例中，ApigeeRouteConfig my-org-my-virtualhost 會參照密鑰 my-org-my-virtualhost。

  2. 從 ApigeeRouteConfig 判斷 virtualhost 名稱。

    ApigeeRouteConfig 的名稱格式為 <Apigee organization>-<virtualhost name>。

    在這個範例中，my-org 是 Apigee 機構，虛擬主機名稱則為 my-virtualhost。

  3. 在 overrides.yaml 檔案中找出對應的虛擬主機：

    virtualhosts:
...
- name: my-virtualhost
  selector:
    app: apigee-ingressgateway
  sslCertPath: ./certs/vhost.pem
  sslKeyPath: ./certs/vhost.key
...

  4. 驗證所使用的憑證和金鑰檔案是否相符。

    使用上一個步驟的 sslCertPath 和 sslKeyPath，使用 openssl 驗證 MD5 總和是否相符：

    openssl x509 -noout -modulus -in SSL_CERT_PATH | openssl md5
     
    openssl rsa -noout -modulus -in SSL_KEY_PATH | openssl md5

    • 其中 SSL_CERT_PATH 是上一個步驟的 sslCertPath。例如：./certs/vhost.pem。
    • 其中 SSL_KEY_PATH 是上一個步驟的 sslKeyPath。例如：./certs/vhost.key。

    上述兩個指令的輸出內容應相同：

    openssl x509 -noout -modulus -in ./certs/vhost.pem | openssl md5
MD5(stdin)= 40ba189dbe9d6fbfbdde1a8ef803d2d4
     
    openssl rsa -noout -modulus -in ./certs/vhost.key | openssl md5
MD5(stdin)= 40ba189dbe9d6fbfbdde1a8ef803d2d4

  5. 如果先前指令的輸出內容不相符，請使用下列任一方法修正問題：

    • 更新虛擬主機的 sslCertPath 和 sslKeyPath，指向正確的檔案路徑。
    • 修正 sslCertPath 或 sslKeyPath 檔案內容，以便包含正確的憑證和金鑰組合。

  6. 使用 Helm 將變更套用至虛擬主機：

    helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
  --namespace APIGEE_NAMESPACE \
  --atomic \
  --set envgroup=ENV_GROUP_NAME \
  -f OVERRIDES_FILE

    請務必加入所有顯示的設定，包括 --atomic，

必須收集診斷資訊

如果問題在您按照上述操作說明後仍未解決，請收集下列診斷資訊，然後與 Google Cloud Customer Care 團隊聯絡：

  1. Google Cloud 專案 ID。
  2. Apigee Hybrid 機構的名稱。
  3. ApigeeIssue 的 Spec.Details 欄位。
  4. (選用) sslCertPath 和 sslKeyPath 為受影響的虛擬主機參照的檔案。