Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Fehlerbehebung beim Zertifikat-Manager

Auf dieser Seite werden die häufigsten Fehler beschrieben, die bei der Verwendung des Zertifikatmanagers auftreten können. Außerdem finden Sie Schritte zur Diagnose und Behebung dieser Fehler.

Probleme im Zusammenhang mit TLS-Zertifikaten (SSL)

Informationen zur Behebung von Problemen mit TLS-Zertifikaten (SSL) finden Sie unter Fehlerbehebung bei SSL-Zertifikaten.

Fehlerbehebung bei von Google verwalteten Zertifikaten

Bei von Google verwalteten Zertifikaten können Sie den Status der Zertifikatsressource und den Autorisierungsstatus für jede mit dem Zertifikat verknüpfte Domain prüfen.

Status des verwalteten Zertifikats

Prüfen Sie den Status des verwalteten Zertifikats (managed.state):

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION \
    --format="get(managed.state)"

Ersetzen Sie Folgendes:

CERTIFICATE_NAME: der Name des Zertifikats.
LOCATION: der Zielstandort in Google Cloud . Der Standardspeicherort ist global.

Die Werte für den Zertifikatsstatus sind:

Bundesland Erklärung

Bundesland	Erklärung
`PROVISIONING`	Der Zertifikatmanager stellt das Zertifikat bereit oder verlängert es. Die Bereitstellung eines von Google verwalteten Zertifikats kann bis zu 60 Minuten dauern, nachdem die DNS- und Load-Balancer-Konfigurationsänderungen im Internet wirksam wurden. Wenn das Zertifikat weiterhin den Status `PROVISIONING` hat, finden Sie weitere Informationen in den Feldern `managed.provisioningIssue` oder `managed.authorizationAttemptInfo`.
`ACTIVE`	Das Zertifikat ist bereitgestellt. Es ist bereit, Traffic zu verarbeiten, nachdem Sie es mit einem Zertifikatszuordnungseintrag verknüpft und an einen Zielproxy oder Load Balancer angehängt haben.
`FAILED`	Mehrere Versuche zur Zertifikatbereitstellung oder -verlängerung sind fehlgeschlagen und der Zertifikatmanager hat die Bereitstellung des Zertifikats beendet. Der Zertifikatmanager wiederholt die Bereitstellung in diesem Status nicht. Um dieses Problem zu beheben, korrigieren Sie die zugrunde liegenden DNS- oder Load-Balancer-Konfigurationsprobleme, löschen Sie das fehlgeschlagene Zertifikat und erstellen Sie eine neue verwaltete Zertifikatsressource. Weitere Informationen zum Fehler finden Sie in den Feldern `managed.provisioningIssue` oder `managed.authorizationAttemptInfo`.

PROVISIONING

Der Zertifikatmanager stellt das Zertifikat bereit oder verlängert es.

Die Bereitstellung eines von Google verwalteten Zertifikats kann bis zu 60 Minuten dauern, nachdem die DNS- und Load-Balancer-Konfigurationsänderungen im Internet wirksam wurden. Wenn das Zertifikat weiterhin den Status PROVISIONING hat, finden Sie weitere Informationen in den Feldern managed.provisioningIssue oder managed.authorizationAttemptInfo.

ACTIVE Das Zertifikat ist bereitgestellt. Es ist bereit, Traffic zu verarbeiten, nachdem Sie es mit einem Zertifikatszuordnungseintrag verknüpft und an einen Zielproxy oder Load Balancer angehängt haben.

FAILED

Mehrere Versuche zur Zertifikatbereitstellung oder -verlängerung sind fehlgeschlagen und der Zertifikatmanager hat die Bereitstellung des Zertifikats beendet. Der Zertifikatmanager wiederholt die Bereitstellung in diesem Status nicht.

Um dieses Problem zu beheben, korrigieren Sie die zugrunde liegenden DNS- oder Load-Balancer-Konfigurationsprobleme, löschen Sie das fehlgeschlagene Zertifikat und erstellen Sie eine neue verwaltete Zertifikatsressource.

Weitere Informationen zum Fehler finden Sie in den Feldern managed.provisioningIssue oder managed.authorizationAttemptInfo.

Status des Domain-Autorisierungsversuchs

Prüfen Sie den Status des Autorisierungsversuchs für die Domains, die mit einem Zertifikat verknüpft sind:

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION \
    --format="get(managed.authorizationAttemptInfo)"

Ersetzen Sie Folgendes:

CERTIFICATE_NAME: der Name des Zertifikats.
LOCATION: der Zielstandort in Google Cloud . Der Standardspeicherort ist global.

Jede mit dem Zertifikat verknüpfte Domain hat einen der folgenden Status (managed.authorizationAttemptInfo.state):

Bundesland	Erklärung
`AUTHORIZING`	Der Zertifikatmanager stellt das Zertifikat für diese Domain bereit und autorisiert die Domain.
`AUTHORIZED`	Die Domain ist autorisiert. Wenn das Zertifikat mehrere Domains enthält, wird es erst bereitgestellt und erhält den Status `ACTIVE`, wenn alle Domains den Status `AUTHORIZED` erreicht haben.
`FAILED`	Der Versuch, die Domain zu autorisieren, ist fehlgeschlagen. Dieser Fehler verhindert, dass der Zertifikatmanager das verwaltete Zertifikat ausstellt. Prüfen Sie zur Diagnose des Problems die Felder `failureReason`, `details` und `troubleshooting` für die fehlgeschlagene Domain.

Gründe für das Fehlschlagen der Domainautorisierung

Wenn der Status des Autorisierungsversuchs einer Domain FAILED ist, wird im Feld managed.authorizationAttemptInfo.failureReason der Grund für den Fehler angegeben. In der folgenden Tabelle werden die möglichen Werte beschrieben:

Fehlerursache Erklärung

Fehlerursache	Erklärung
`CONFIG`	Ihr DNS oder Load Balancer hat ein Konfigurationsproblem für diese Domain. Weitere Informationen finden Sie in der detaillierten Tabelle zur Fehlerbehebung.
`CAA`	Die Zertifikatsbereitstellung ist aufgrund eines Problems mit dem CAA-Eintrag fehlgeschlagen, z. B. aufgrund einer expliziten CAA-Einschränkung oder eines Fehlers beim Prüfen der CAA-Einträge für die Domain. Achten Sie darauf, dass die Konfiguration Ihrer DNS-Zone es der Zertifizierungsstelle ermöglicht, Zertifikate für Ihre Domain auszustellen. Für projektspezifische DNS-Autorisierungen (einschließlich aller regionalen Zertifikate) verwendet der Zertifikatmanager nur Google Trust Services (`pki.goog`). Achten Sie daher darauf, dass Ihr CAA-Eintrag `pki.goog` zulässt. Für andere DNS-Autorisierungen und Load-Balancer-Autorisierungen kann der Zertifikatmanager sowohl Google Trust Services (`pki.goog`) als auch Let's Encrypt (`letsencrypt.org`) verwenden. Weitere Informationen finden Sie unter Zertifizierungsstellen angeben, die Ihr von Google verwaltetes Zertifikat ausstellen können.
`RATE_LIMITED`	Die Anfrage wurde von der Zertifizierungsstelle oder dem internen System eingeschränkt, z. B. durch die wöchentlichen Limits von Let's Encrypt für Zertifikate pro registrierter Domain. Warten Sie, bis die Ratenbegrenzung abgelaufen ist, um dieses Problem zu beheben. Fordern Sie keine unnötigen doppelten Zertifikate für verschiedene Projekte an.

CONFIG

Ihr DNS oder Load Balancer hat ein Konfigurationsproblem für diese Domain.

Weitere Informationen finden Sie in der detaillierten Tabelle zur Fehlerbehebung.

CAA

Die Zertifikatsbereitstellung ist aufgrund eines Problems mit dem CAA-Eintrag fehlgeschlagen, z. B. aufgrund einer expliziten CAA-Einschränkung oder eines Fehlers beim Prüfen der CAA-Einträge für die Domain.

Achten Sie darauf, dass die Konfiguration Ihrer DNS-Zone es der Zertifizierungsstelle ermöglicht, Zertifikate für Ihre Domain auszustellen. Für projektspezifische DNS-Autorisierungen (einschließlich aller regionalen Zertifikate) verwendet der Zertifikatmanager nur Google Trust Services (pki.goog). Achten Sie daher darauf, dass Ihr CAA-Eintrag pki.goog zulässt. Für andere DNS-Autorisierungen und Load-Balancer-Autorisierungen kann der Zertifikatmanager sowohl Google Trust Services (pki.goog) als auch Let's Encrypt (letsencrypt.org) verwenden. Weitere Informationen finden Sie unter Zertifizierungsstellen angeben, die Ihr von Google verwaltetes Zertifikat ausstellen können.

RATE_LIMITED

Die Anfrage wurde von der Zertifizierungsstelle oder dem internen System eingeschränkt, z. B. durch die wöchentlichen Limits von Let's Encrypt für Zertifikate pro registrierter Domain.

Warten Sie, bis die Ratenbegrenzung abgelaufen ist, um dieses Problem zu beheben. Fordern Sie keine unnötigen doppelten Zertifikate für verschiedene Projekte an.

Fehler im Zusammenhang mit Zertifikaten des Zertifikatmanagers

Dieser Abschnitt enthält Informationen zur Fehlerbehebung bei Fehlern im Zusammenhang mit dem Feld authorizationAttemptInfo von Google-verwalteten Zertifikaten des Zertifikatmanagers. Die Fehler werden im Abschnitt managed.authorizationAttemptInfo.troubleshooting nur angezeigt, wenn die folgenden Felder diese Werte haben:

managed.authorizationAttemptInfo.state = FAILED
managed.authorizationAttemptInfo.failureReason = CONFIG

Weitere Informationen zu den Fehlern und deren Behebung finden Sie in der folgenden Tabelle:

Fehler	Beschreibung
`CNAME_MISMATCH`	Dieser Fehler tritt nur bei DNS-Autorisierungen auf, wenn der Wert des erwarteten `CNAME`-Eintrags nicht mit dem Wert des aufgelösten `CNAME`-Eintrags übereinstimmt. Fügen Sie Ihrer DNS-Konfiguration den erwarteten CNAME-Eintrag hinzu, um dieses Problem zu beheben. Weitere Informationen finden Sie im Abschnitt CNAME-Eintrag zu DNS-Konfiguration hinzufügen.
`RESOLVED_TO_NOT_SERVING`	Dieser Fehler tritt auf, wenn die Domain DNS-`A`- und `AAAA`-Einträge enthält, die auf bestimmte IP-Adressen verweisen, bei denen das Zertifikat keinem Load Balancer zugeordnet ist. Der Fehler gilt nur für Zertifikate mit Load Balancer-Autorisierungen. Sie können Zertifikate erst nach der Konfiguration des Load Balancers mit der Load-Balancer-Autorisierung bereitstellen. Um dieses Problem zu beheben, aktualisieren Sie die DNS-A- und AAAA-Einträge der Domain, sodass sie auf die IP-Adresse Ihres Load Balancers verweisen. Die IP-Adressen, die aus den DNS-Einträgen `A` und `AAAA` der Domain aufgelöst werden, werden im Parameter `ips.resolved` gespeichert. Die IP-Adressen des Load Balancers, an den dieses Zertifikat angehängt ist, werden im Parameter `ips.serving` gespeichert. Die DNS-Einträge `A` und `AAAA` der Domain dürfen nur auf die IP-Adresse des Load Balancers verweisen. Wenn beispielsweise ein DNS-`A`-Eintrag auf die IP-Adresse des Load Balancers verweist, der DNS-`AAAA`-Eintrag jedoch auf eine andere IP-Adresse, tritt der Fehler `RESOLVED_TO_NOT_SERVING` auf. Außerdem müssen Sie darauf achten, dass die DNS-Einträge `A` und `AAAA` der Domain weltweit korrekt und konsistent aufgelöst werden. Weitere Informationen finden Sie im Abschnitt Fehler bei der Domainvalidierung aus mehreren Perspektiven.
`NO_RESOLVED_IPS`	Dieser Fehler tritt auf, wenn die Domain keine DNS-`A`- und `AAAA`-Einträge enthält. Der Fehler gilt nur für Zertifikate mit Load Balancer-Autorisierungen. Sie können Zertifikate erst nach der Konfiguration des Load Balancers mit der Load-Balancer-Autorisierung bereitstellen. Fügen Sie zur Behebung dieses Problems DNS-`A`- und `AAAA`-Einträge für diese Domain hinzu und achten Sie darauf, dass die Einträge auf die IP-Adresse des Ziel-HTTPS-Proxys oder des Media CDN-Edge-Cache-Dienstes verweisen. Außerdem müssen Sie darauf achten, dass die DNS-Einträge `A` und `AAAA` der Domain weltweit korrekt und konsistent aufgelöst werden. Weitere Informationen finden Sie im Abschnitt Fehler bei der Domainvalidierung aus mehreren Perspektiven.
`RESOLVED_TO_SERVING_ON_ALT_PORTS`	Dieser Fehler tritt auf, wenn die Domain, die DNS-`A`- und `AAAA`-Einträge enthält, auf die IP-Adressen eines Load Balancers verweist, an den dieses Zertifikat angehängt ist, aber Port `443` auf diesen IP-Adressen nicht geöffnet ist. Der Fehler gilt nur für Zertifikate mit Load Balancer-Autorisierungen. Sie können Zertifikate erst nach der Konfiguration des Load Balancers über die Load-Balancer-Autorisierung bereitstellen. Achten Sie zur Behebung dieses Problems darauf, dass der Load Balancer mit dem angehängten Zertifikat Port `443` überwacht. Der Parameter `ips.serving_on_alt_ports` speichert die Liste der Load-Balancer-IP-Adressen, für die der Port `443` nicht geöffnet ist. Außerdem müssen Sie darauf achten, dass die DNS-Einträge `A` und `AAAA` der Domain weltweit korrekt und konsistent aufgelöst werden. Weitere Informationen finden Sie im Abschnitt Fehler bei der Domainvalidierung aus mehreren Perspektiven.
`CERTIFICATE_NOT_ATTACHED`	Dieser Fehler tritt auf, wenn das Zertifikat nicht an einen Load Balancer angehängt ist. Um dieses Problem zu beheben, muss das Zertifikat an einen Load Balancer angehängt sein. Weitere Informationen finden Sie im Abschnitt Zertifikat auf einem Load Balancer bereitstellen. Dieser Fehler tritt auch auf, wenn ein Zertifikat Teil einer Zertifikatszuordnung ist, die an einen Ziel-HTTPS-Proxy angehängt ist, der Proxy jedoch nicht an eine Weiterleitungsregel angehängt ist. Um dieses Problem zu beheben, hängen Sie den Ziel-HTTPS-Proxy an die entsprechende Weiterleitungsregel an. Weitere Informationen finden Sie unter Ziel-Proxys – Übersicht und Weiterleitungsregeln – Übersicht. Der Fehler gilt nur für Zertifikate mit Load Balancer-Autorisierungen. Sie können Zertifikate erst nach der Konfiguration des Load Balancers über die Load-Balancer-Autorisierung bereitstellen.

Fehler beim Trennen einer Zertifikatszuordnung von einem Zielproxy

Wenn Sie eine Zertifikatszuordnung von einem Zielproxy trennen, erhalten Sie den folgenden Fehler:

"There must be at least one certificate configured for a target proxy."

Dieser Fehler tritt auf, wenn dem Ziel-Proxy keine Zertifikate zugewiesen sind, außer denen, die in der Zertifikatszuordnung angegeben sind, die Sie trennen möchten. Wenn Sie die Zuordnung aufheben möchten, weisen Sie dem Proxy zuerst ein oder mehrere Zertifikate direkt zu.

Fehler beim Verknüpfen eines Zertifikatszuordnungseintrags mit einem Zertifikat

Wenn Sie einen Zertifikatszuordnungseintrag mit einem Zertifikat verknüpfen, erhalten Sie den folgenden Fehler:

"certificate can't be used more than 100 times"

Dieser Fehler tritt auf, wenn Sie versuchen, einen Zertifikatszuordnungseintrag mit einem Zertifikat zu verknüpfen, das bereits mit 100 Zertifikatszuordnungseinträgen verknüpft ist. So beheben Sie das Problem:

Erstellen Sie für von Google verwaltete Zertifikate ein weiteres Zertifikat. Verknüpfen Sie die neuen Zertifikatszuordnungseinträge mit diesem neuen Zertifikat und hängen Sie das neue Zertifikat an den Load Balancer an.
Laden Sie selbstverwaltete Zertifikate noch einmal mit einem neuen Namen hoch. Verknüpfen Sie die neuen Zertifikatszuordnungseinträge mit diesem neuen Zertifikat und hängen Sie das neue Zertifikat an den Load Balancer an.

Probleme im Zusammenhang mit Zertifikaten, die von einer CA Service-Instanz ausgestellt wurden

In diesem Abschnitt werden die häufigsten Fehler aufgeführt, die bei der Verwendung des Zertifikatmanagers zum Bereitstellen von von Google verwalteten Zertifikaten auftreten können, die von Ihrer CA Service-Instanz ausgestellt wurden, sowie deren mögliche Ursachen.

Wenn Sie den Fehler Failed to create Certificate Issuance Config resources erhalten, prüfen Sie Folgendes:

Die Lebensdauer: Gültige Werte für die Zertifikatslebensdauer liegen zwischen 21 und 30 Tagen.
Der Prozentsatz des Rotationsfensters. Gültige Prozentsätze für das Rotationsfenster liegen zwischen 1 und 99 %. Sie müssen den Prozentsatz des Rotationsfensters im Verhältnis zur Zertifikatslaufzeit so festlegen, dass die Zertifikatserneuerung mindestens 7 Tage nach der Ausstellung des Zertifikats und mindestens 7 Tage vor dessen Ablauf erfolgt.
Der Schlüsselalgorithmus. Gültige Werte für den Schlüsselalgorithmus sind: RSA_2048 und ECDSA_P256.
Der CA-Pool. Der CA-Pool ist entweder nicht vorhanden oder falsch konfiguriert. Der CA-Pool muss mindestens eine aktivierte CA enthalten und der Aufrufer muss die Berechtigung privateca.capools.use für das ZielprojektGoogle Cloud haben. Bei regionalen Zertifikaten muss die Konfigurationsressource für die Zertifikatsausstellung am selben Standort wie der CA-Pool erstellt werden.

Wenn der Fehler Failed to create a managed certificate ausgegeben wird, prüfen Sie Folgendes:

Die beim Erstellen des Zertifikats angegebene Konfigurationsressource für die Zertifikatsausstellung ist vorhanden.
Der Aufrufer hat die Berechtigung certificatemanager.certissuanceconfigs.use für die Konfigurationsressource für die Zertifikatsausstellung, die Sie beim Erstellen des Zertifikats angegeben haben.
Das Zertifikat befindet sich am selben Standort wie die Ressource für die Zertifikatsausstellungskonfiguration.

Wenn Sie den Fehler Failed to renew certificate oder Failed to provision certificate erhalten, prüfen Sie Folgendes:

Das Zertifikatmanager-Dienstkonto hat die Berechtigung roles/privateca.certificateRequester für den CA-Pool, der in der für dieses Zertifikat verwendeten Konfigurationsressource für die Zertifikatsausstellung angegeben ist.

Verwenden Sie den folgenden Befehl, um die Berechtigungen für den Ziel-CA-Pool zu prüfen:
```
gcloud privateca pools get-iam-policy CA_POOL
--location REGION
```
Ersetzen Sie Folgendes:
- CA_POOL: der vollständige Ressourcenpfad und Name des Ziel-CA-Pools
- REGION: die Google Cloud -Zielregion
Es gilt eine Richtlinie für die Zertifikatsausstellung. Weitere Informationen finden Sie unter Probleme im Zusammenhang mit Einschränkungen der Ausstellungsrichtlinie.

Probleme im Zusammenhang mit Einschränkungen der Ausstellungsrichtlinie

Wenn der Zertifikatmanager die Änderungen an einem Zertifikat, die durch die Zertifikatausstellungsrichtlinie vorgenommen wurden, nicht unterstützt, schlägt die Zertifikatsbereitstellung fehl und der Status des verwalteten Zertifikats ändert sich in Failed. Prüfen Sie Folgendes, um das Problem zu beheben:

Die Identitätseinschränkungen des Zertifikats ermöglichen die Weitergabe des Antragstellers und des alternativen Antragstellernamens (Subject Alternative Name, SAN).
Die Einschränkung für die maximale Lebensdauer des Zertifikats ist größer als die Lebensdauer der Konfigurationsressource für die Zertifikatsausstellung.
Die Richtlinie für die Zertifikatsausstellung ist so konfiguriert, dass TLS-Zertifikate für Endentitätsserver (Blatt) zulässig sind.

Bei den vorherigen Problemen wird Ihnen das Zertifikat gemäß den Preisen für den CA-Dienst in Rechnung gestellt, da der CA-Dienst das Zertifikat bereits ausgestellt hat.

Wenn Sie den Fehler Rejected for issuing certificates from the configured CA Pool erhalten, bedeutet dies, dass die Richtlinie für die Zertifikatsausstellung das angeforderte Zertifikat blockiert hat. Prüfen Sie Folgendes, um den Fehler zu beheben:

Der Ausstellungsmodus des Zertifikats lässt Zertifikatssignieranfragen (CSRs) zu.
Die zulässigen Schlüsseltypen sind mit dem Schlüsselalgorithmus der verwendeten Konfigurationsressource für die Zertifikatsausstellung kompatibel.

Bei den vorherigen Problemen wird Ihnen der CA-Dienst nicht in Rechnung gestellt, da der CA-Dienst das Zertifikat nicht ausgestellt hat.

Probleme im Zusammenhang mit dem Abgleich von IAP-Hostnamen

Wenn Sie bei der Verwendung des Zertifikatmanagers mit Identity-Aware Proxy (IAP) unerwartet den Fehler The host name provided does not match the SSL certificate on the server erhalten, prüfen Sie, ob Sie ein Zertifikat verwenden, das für diesen Hostnamen gültig ist. Listen Sie auch die Zertifikatszuordnungseinträge auf, die Sie in Ihrer Zertifikatszuordnung konfiguriert haben. Jeder Hostname oder Platzhalter-Hostname, den Sie mit IAP verwenden möchten, muss einen eigenen Eintrag haben. Wenn der Zertifikatszuordnungseintrag für Ihren Hostnamen fehlt, erstellen Sie einen Zertifikatszuordnungseintrag.

Anfragen, die während der Zertifikatsauswahl auf den primären Zertifikatszuordnungseintrag zurückgreifen, werden von IAP immer abgelehnt.

Fehlgeschlagene Domainvalidierungen aus mehreren Perspektiven

Google Cloud erneuert Ihre von Google verwalteten Zertifikate regelmäßig, indem es sie von Zertifizierungsstellen (CAs) anfordert. Die Zertifizierungsstellen, mit denenGoogle Cloud zusammenarbeitet, um Ihre Zertifikate zu verlängern, verwenden eine Domainvalidierungsmethode mit mehreren Perspektiven, die als Multi-Perspective Issuance Corroboration (MPIC) bezeichnet wird. Im Rahmen dieses Prozesses überprüfen die Zertifizierungsstellen die Domainkontrolle, indem sie die DNS-Einstellungen der Domain prüfen. Bei der Load-Balancer-Autorisierung versuchen sie, den Server hinter der IP-Adresse der Domain zu kontaktieren. Diese Überprüfungen werden von mehreren Standorten im Internet aus durchgeführt. Wenn die Validierung fehlschlägt, können von Google verwaltete Zertifikate nicht verlängert werden. Infolgedessen stellt Ihr Load Balancer Clients ein abgelaufenes Zertifikat bereit, was bei Browsernutzern zu Zertifikatsfehlern und bei API-Clients zu Verbindungsfehlern führt.

Beachten Sie Folgendes, um Fehler bei der Domainvalidierung aus mehreren Perspektiven aufgrund falsch konfigurierter DNS-Einträge zu vermeiden:

Ihre DNS-A-Einträge (IPv4) und DNS-AAAA-Einträge (IPv6) für Ihre Domains und Subdomains verweisen nur auf die IP-Adresse (oder Adressen), die der Weiterleitungsregel (oder den Weiterleitungsregeln) des Load Balancers zugeordnet sind. Wenn der Eintrag andere Adressen enthält, kann die Validierung fehlschlagen.
Die Zertifizierungsstelle, die die Validierung von DNS-Einträgen durchführt, fragt DNS-Einträge von mehreren Standorten ab. Achten Sie darauf, dass Ihr DNS-Anbieter konsistent auf alle globalen Domainvalidierungsanfragen antwortet.
Die Verwendung von GeoDNS (Rückgabe unterschiedlicher IP-Adressen basierend auf dem Standort der Anfrage) oder standortbasierten DNS-Richtlinien kann zu inkonsistenten Antworten und zum Fehlschlagen der Validierung führen. Wenn Ihr DNS-Anbieter GeoDNS verwendet, deaktivieren Sie es oder sorgen Sie dafür, dass alle Regionen dieselbe IP-Adresse des Load Balancers zurückgeben.
Wenn Sie die Methode Load-Balancer-Autorisierung verwenden, um von Google verwaltete Zertifikate bereitzustellen, müssen Sie die IP-Adressen Ihres Load Balancers explizit in Ihrer DNS-Konfiguration angeben. Zwischenebenen wie ein CDN können zu unvorhersehbarem Verhalten führen. Die IP-Adresse muss direkt zugänglich sein, ohne dass Weiterleitungen, Firewalls oder CDNs im Anfragepfad vorhanden sind. Weitere Informationen finden Sie im Abschnitt Load Balancer hinter einem CDN in diesem Dokument.
Wir empfehlen, ein Tool zur Überprüfung der globalen DNS-Verbreitung Ihrer Wahl zu verwenden, um zu prüfen, ob alle relevanten DNS-Einträge weltweit korrekt und konsistent aufgelöst werden.

Konfigurationsänderungen prüfen

Nachdem Sie Ihre DNS-Einträge konfiguriert haben, können Sie prüfen, ob sie korrekt sind. Erstellen Sie dazu ein neues Zertifikat und verbinden Sie es zusammen mit dem vorhandenen Zertifikat mit Ihrem Load Balancer. In diesem Schritt wird eine sofortige Prüfung der Zertifikatsbereitstellung bei der Zertifizierungsstelle erzwungen, sodass Sie Ihre Konfigurationsänderungen innerhalb weniger Minuten überprüfen können. Ohne diese können automatische Verlängerungen des vorhandenen Zertifikats Tage oder Wochen dauern, was zu Unsicherheiten bei der Einrichtung führt.

Wenn der Zertifikatsstatus zu ACTIVE wird, bedeutet dies, dass das Zertifikat ausgestellt wurde. Damit wird bestätigt, dass Ihre DNS-Konfiguration korrekt ist. Wir empfehlen, das frühere Zertifikat zu entfernen, damit Sie nicht zwei separate Zertifikate für dieselbe Domain haben. Dieser Vorgang unterbricht den Traffic zu Ihrem Load Balancer nicht.

Das neue Zertifikat dient als Validierungstool. Seine Erstellung bestätigt, dass die Domainvalidierung aus mehreren Perspektiven mit MPIC für Ihre Einrichtung korrekt funktioniert.

Load Balancer hinter einem CDN

Bei Load Balancern, für die CDN aktiviert ist, können einige CDN-Drittanbieter im Anfragepfad verhindern, dass Validierungsanfragen erfolgreich ausgeführt werden. Dies kann passieren, wenn der CDN-Anbieter HTTP(S)-Traffic aktiv weiterleitet.

In solchen Fällen empfehlen wir, die Methode DNS-Autorisierung zu verwenden, um von Google verwaltete Zertifikate bereitzustellen. Bei letzterem Ansatz muss die Zertifizierungsstelle Ihren Load Balancer nicht kontaktieren.