Solução de problemas

Nesta página, mostramos como resolver problemas comuns com o serviço de autoridade certificadora.

A solicitação da API retorna HTTP 403 Forbidden

Se uma solicitação de API retornar HTTP 403 Forbidden com a mensagem Read access to project PROJECT_NAME was denied, use a seguinte resolução.

Resolução

  1. Verifique as permissões do IAM do solicitante.
  2. Verifique o local da solicitação. As regiões sem suporte podem retornar um erro de permissão negada. Para mais informações sobre os locais com suporte, consulte Locais.

A exclusão de uma AC retorna HTTP 412 Falha na pré-condição

Se você receber os seguintes erros de pré-condição ao excluir uma AC, use a resolução desta seção.

  • Cannot perform Certificate Authority deletion, Certificate Authority is in state ENABLED.

Resolução

Uma AC precisa estar no estado DISABLED ou STAGED para ser excluída. Verifique o estado da sua AC antes de programá-la para exclusão. Para mais informações sobre os estados da CA, consulte Estados da CA.

Falha na emissão do certificado

O serviço de AC oferece vários controles de política que podem ser usados para gerenciar a emissão de certificados. Para mais informações sobre os controles de política, consulte Visão geral dos modelos de certificado e das políticas de emissão.

A emissão de certificados pode falhar por vários motivos. Confira alguns motivos:

  • Conflito entre a política de emissão de certificados e o modelo de certificado do pool de ACs.

    Por exemplo, considere que a política de emissão define uma extensão foo e atribui o valor bar a ela, e o modelo de certificado define a extensão foo e atribui o valor bat a ela. A atribuição de dois valores diferentes à mesma extensão cria um conflito.

    Resolução

    Analise a política de emissão de certificados do pool de AC em relação ao modelo de certificado e identifique e resolva os conflitos.

    Para mais informações sobre as políticas de emissão, consulte Adicionar uma política de emissão de certificados a um pool de ACs.

  • O assunto ou os nomes alternativos do assunto (SANs, na sigla em inglês) falham na avaliação da expressão CEL no modelo de certificado ou na política de emissão de certificados do pool de ACs.

    Resolução

    Revise a política de emissão de certificados e o modelo de certificado do pool de ACs e verifique se o assunto e o SAN atendem às condições definidas pelas expressões do Common Expression Language (CEL). Para mais informações sobre as expressões CEL, consulte Como usar a linguagem de expressão comum.

  • Papel do IAM incorreto sendo concedido para um caso de uso. Por exemplo, atribuir o papel roles/privateca.certificateRequester para a identidade refletida ou o papel roles/privateca.workloadCertificateRequester para o modo de identidade padrão.

    Resolução

    Confirme se você atribuiu o papel roles/privateca.certificateRequester para o modo de identidade padrão e o papel roles/privateca.workloadCertificateRequester para a identidade refletida. Para mais informações sobre o uso da reflexão de identidade, consulte Reflexão de identidade para cargas de trabalho federadas.

  • Tentativa de usar o modo de identidade refletida em um cenário sem suporte, como sem a identidade da carga de trabalho do Hub. Um cenário sem suporte para a reflexão de identidade retorna a seguinte mensagem de erro:

    Could not use the REFLECTED_SPIFFE subject mode because the caller does not have a SPIFFE identity. Please visit the CA Service documentation to ensure that this is a supported use-case.

    Resolução

    Determine qual tipo de identidade você precisa usar: identidade padrão ou identidade refletida. Se você precisar usar a identidade refletida, verifique se está usando em um dos cenários aceitos. Para mais informações sobre a reflexão de identidade, consulte Reflexão de identidade para cargas de trabalho federadas.

  • A restrição de tamanho de chave padrão rejeita chaves RSA com tamanho de módulo menor que 2.048 bits.

    As práticas recomendadas do setor recomendam o uso de uma chave RSA de pelo menos 2.048 bits. Por padrão, o serviço de AC impede a emissão de certificados usando uma chave RSA com tamanho de módulo menor que 2048 bits.

    Resolução

    Se você quiser usar uma chave RSA com tamanho de módulo menor que 2.048 bits, será necessário permitir isso explicitamente usando a política de emissão de certificados. Use o exemplo de YAML abaixo para permitir essas chaves RSA:

    allowedKeyTypes:
- rsa:
    minModulusSize: 1024

A seguir