Résoudre les problèmes liés au Gestionnaire de certificats

Cette page décrit les erreurs les plus courantes que vous pouvez rencontrer lors de l'utilisation de Certificate Manager. Il fournit également la procédure à suivre pour diagnostiquer et résoudre ces erreurs.

Pour obtenir de l'aide sur la résolution des problèmes liés aux certificats TLS (SSL), consultez Résoudre les problèmes liés aux certificats SSL.

Résoudre les problèmes liés aux certificats gérés par Google

Pour les certificats gérés par Google, vous pouvez vérifier l'état de la ressource de certificat et l'état d'autorisation de chaque domaine associé au certificat.

État du certificat géré

Vérifiez l'état du certificat géré (managed.state) :

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION \
    --format="get(managed.state)"

Remplacez les éléments suivants :

  • CERTIFICATE_NAME : nom du certificat.
  • LOCATION : emplacement Google Cloud cible. L'emplacement par défaut est global.

Les valeurs de l'état du certificat sont les suivantes :

État Explication
PROVISIONING

Certificate Manager provisionne ou renouvelle le certificat.

Le provisionnement d'un certificat géré par Google peut prendre jusqu'à 60 minutes après la propagation des modifications de votre configuration DNS et de votre équilibreur de charge sur Internet. Si le certificat reste à l'état PROVISIONING, consultez les champs managed.provisioningIssue ou managed.authorizationAttemptInfo pour plus d'informations.
ACTIVE Le certificat est provisionné. Il est prêt à diffuser du trafic une fois que vous l'avez associé à une entrée de mappage de certificats et que vous l'avez associé à un proxy cible ou à un équilibreur de charge.
FAILED

Plusieurs tentatives de provisionnement ou de renouvellement de certificat ont échoué, et Certificate Manager a arrêté de provisionner le certificat. Certificate Manager ne relance pas le provisionnement dans cet état.

Pour résoudre ce problème, corrigez les problèmes de configuration DNS ou d'équilibreur de charge sous-jacents, supprimez le certificat défaillant et créez une ressource de certificat géré.

Pour en savoir plus sur l'échec, consultez les champs managed.provisioningIssue ou managed.authorizationAttemptInfo.

État de la tentative d'autorisation du domaine

Vérifiez l'état de la tentative d'autorisation pour les domaines associés à un certificat :

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION \
    --format="get(managed.authorizationAttemptInfo)"

Remplacez les éléments suivants :

  • CERTIFICATE_NAME : nom du certificat.
  • LOCATION : emplacement Google Cloud cible. L'emplacement par défaut est global.

Chaque domaine associé au certificat présente l'un des états suivants (managed.authorizationAttemptInfo.state) :

État Explication
AUTHORIZING Certificate Manager provisionne le certificat pour ce domaine et l'autorise.
AUTHORIZED Le domaine est autorisé. Si le certificat inclut plusieurs domaines, il est provisionné et devient ACTIVE uniquement une fois que tous ses domaines ont atteint l'état AUTHORIZED.
FAILED Échec de la tentative d'autorisation du domaine. Cet échec empêche Certificate Manager d'émettre le certificat géré. Pour diagnostiquer le problème, vérifiez les champs failureReason, details et troubleshooting du domaine défaillant.

Motifs d'échec de l'autorisation de domaine

Lorsque l'état de la tentative d'autorisation d'un domaine est FAILED, le champ managed.authorizationAttemptInfo.failureReason indique la raison de l'échec. Le tableau suivant décrit les valeurs possibles :

Motif de l'échec Explication
CONFIG

Votre DNS ou votre équilibreur de charge présente un problème de configuration pour ce domaine.

Pour en savoir plus, consultez le tableau détaillé de résolution des erreurs.
CAA

Le provisionnement du certificat a échoué en raison d'un problème d'enregistrement CAA, tel qu'une restriction CAA explicite ou l'impossibilité de vérifier les enregistrements CAA du domaine.

Pour résoudre ce problème, assurez-vous que la configuration de votre zone DNS permet à l'autorité de certification d'émettre des certificats pour votre domaine. Pour les autorisations DNS par projet (y compris tous les certificats régionaux), Certificate Manager n'utilise que Google Trust Services (pki.goog). Assurez-vous donc que votre enregistrement CAA autorise pki.goog. Pour les autres autorisations DNS et les autorisations d'équilibreur de charge, Certificate Manager peut utiliser à la fois Google Trust Services (pki.goog) et Let's Encrypt (letsencrypt.org). Pour en savoir plus, consultez Spécifier les autorités de certification pouvant émettre votre certificat géré par Google.
RATE_LIMITED

La requête a été limitée par l'autorité de certification ou le système interne, par exemple les limites hebdomadaires de Let's Encrypt sur les certificats par domaine enregistré.

Pour résoudre ce problème, attendez que la limite de débit expire. Ne demandez pas de certificats en double inutiles dans différents projets.

Erreurs liées aux certificats Certificate Manager

Cette section fournit des informations de dépannage pour les erreurs liées au champ authorizationAttemptInfo des certificats Certificate Manager gérés par Google. Les erreurs ne s'affichent dans la section managed.authorizationAttemptInfo.troubleshooting que lorsque les champs suivants ont ces valeurs :

  • managed.authorizationAttemptInfo.state = FAILED
  • managed.authorizationAttemptInfo.failureReason = CONFIG

Pour en savoir plus sur les erreurs et leur résolution, consultez le tableau suivant :

Erreur Description
CNAME_MISMATCH Cette erreur ne se produit que pour les autorisations DNS lorsque la valeur de l'enregistrement CNAME attendu ne correspond pas à la valeur de l'enregistrement CNAME résolu.

Pour résoudre ce problème, ajoutez l'enregistrement CNAME attendu à votre configuration DNS. Pour en savoir plus, consultez la section Ajouter l'enregistrement CNAME à votre configuration DNS.
RESOLVED_TO_NOT_SERVING Cette erreur se produit lorsque le domaine contient des enregistrements DNS A et AAAA qui pointent vers certaines adresses IP où le certificat n'est associé à aucun équilibreur de charge.

L'erreur ne s'applique qu'aux certificats avec des autorisations d'équilibreur de charge. Vous ne pouvez provisionner des certificats à l'aide de l'autorisation de l'équilibreur de charge qu'après avoir configuré l'équilibreur de charge.

Pour résoudre ce problème, mettez à jour les enregistrements DNS A et AAAA du domaine pour qu'ils pointent vers l'adresse IP de votre équilibreur de charge. Les adresses IP résolues à partir des enregistrements DNS A et AAAA du domaine sont stockées dans le paramètre ips.resolved, et les adresses IP de l'équilibreur de charge auquel ce certificat est associé sont stockées dans le paramètre ips.serving.

Les enregistrements DNS A et AAAA du domaine doivent pointer uniquement vers l'adresse IP de l'équilibreur de charge. Par exemple, si un enregistrement DNS A pointe vers l'adresse IP de l'équilibreur de charge, mais que l'enregistrement DNS AAAA pointe vers une autre adresse IP, l'erreur RESOLVED_TO_NOT_SERVING se produit.

Vous devez également vous assurer que les enregistrements DNS A et AAAA du domaine sont résolus correctement et de manière cohérente dans le monde entier. Pour en savoir plus, consultez la section Échecs de validation de domaine multiperspective.
NO_RESOLVED_IPS Cette erreur se produit lorsque le domaine ne contient aucun enregistrement DNS A et AAAA.

L'erreur ne s'applique qu'aux certificats avec des autorisations d'équilibreur de charge. Vous ne pouvez provisionner des certificats à l'aide de l'autorisation de l'équilibreur de charge qu'après avoir configuré l'équilibreur de charge.

Pour résoudre ce problème, ajoutez des enregistrements DNS A et AAAA pour ce domaine, et assurez-vous qu'ils pointent vers l'adresse IP du proxy HTTPS cible ou du service de mise en cache périphérique Media CDN.

Vous devez également vous assurer que les enregistrements DNS A et AAAA du domaine sont résolus correctement et de manière cohérente dans le monde entier. Pour en savoir plus, consultez la section Échecs de validation de domaine multiperspective.
RESOLVED_TO_SERVING_ON_ALT_PORTS Cette erreur se produit lorsque le domaine contenant les enregistrements DNS A et AAAA pointe vers les adresses IP d'un équilibreur de charge auquel ce certificat est associé, mais que le port 443 n'est pas ouvert sur ces adresses IP.

L'erreur ne s'applique qu'aux certificats avec des autorisations d'équilibreur de charge. Vous ne pouvez provisionner des certificats à l'aide de l'autorisation de l'équilibreur de charge qu'après avoir configuré l'équilibreur de charge.

Pour résoudre ce problème, assurez-vous que l'équilibreur de charge auquel le certificat est associé écoute sur le port 443. Le paramètre ips.serving_on_alt_ports stocke la liste des adresses IP de l'équilibreur de charge pour lesquelles le port 443 n'est pas ouvert.

Vous devez également vous assurer que les enregistrements DNS A et AAAA du domaine sont résolus correctement et de manière cohérente dans le monde entier. Pour en savoir plus, consultez la section Échecs de validation de domaine multiperspective.
CERTIFICATE_NOT_ATTACHED Cette erreur se produit lorsque le certificat n'est pas associé à un équilibreur de charge. Pour résoudre ce problème, assurez-vous que le certificat est associé à un équilibreur de charge. Pour en savoir plus, consultez la section Déployer le certificat sur un équilibreur de charge.

Cette erreur se produit également lorsqu'un certificat fait partie d'un mappage de certificats associé à un proxy HTTPS cible, mais que le proxy n'est pas associé à une règle de transfert. Pour résoudre ce problème, associez le proxy HTTPS cible à la règle de transfert appropriée. Pour en savoir plus, consultez Présentation des proxys cibles et Présentation des règles de transfert.

L'erreur ne s'applique qu'aux certificats avec des autorisations d'équilibreur de charge. Vous ne pouvez provisionner des certificats à l'aide de l'autorisation de l'équilibreur de charge qu'après avoir configuré l'équilibreur de charge.

Erreur lors de l'association d'un mappage de certificats à un proxy cible

Lorsque vous dissociez un mappage de certificats d'un proxy cible, l'erreur suivante s'affiche :

"There must be at least one certificate configured for a target proxy."

Cette erreur se produit lorsqu'aucun certificat n'est attribué au proxy cible, à l'exception de ceux spécifiés dans le mappage de certificats que vous essayez de dissocier. Pour dissocier le mappage, commencez par attribuer un ou plusieurs certificats directement au proxy.

Erreur lors de l'association d'une entrée de mappage de certificats à un certificat

Lorsque vous associez une entrée de mappage de certificats à un certificat, l'erreur suivante s'affiche :

"certificate can't be used more than 100 times"

Cette erreur se produit lorsque vous essayez d'associer une entrée de mappage de certificats à un certificat qui est déjà associé à 100 entrées de mappage de certificats. Pour identifier le problème, procédez comme suit :

  • Pour les certificats gérés par Google, créez un autre certificat. Associez les nouvelles entrées de mappage de certificats à ce nouveau certificat, puis associez le nouveau certificat à l'équilibreur de charge.
  • Pour les certificats autogérés, importez à nouveau le certificat avec un nouveau nom. Associez les nouvelles entrées de mappage de certificats à ce nouveau certificat, puis associez le nouveau certificat à l'équilibreur de charge.

Problèmes liés aux certificats émis par une instance CA Service

Cette section répertorie les erreurs les plus courantes que vous pouvez rencontrer lorsque vous utilisez Certificate Manager pour déployer des certificats gérés par Google émis par votre instance CA Service, ainsi que leurs causes possibles.

Si vous recevez l'erreur Failed to create Certificate Issuance Config resources, vérifiez les points suivants :

  • La durée de vie. Les valeurs de durée de validité du certificat sont comprises entre 21 et 30 jours.
  • Le pourcentage de la période de rotation. Les pourcentages de période de rotation valides sont compris entre 1 et 99 %. Vous devez définir le pourcentage de la période de rotation en fonction de la durée de validité du certificat afin que le renouvellement du certificat ait lieu au moins sept jours après l'émission du certificat et au moins sept jours avant son expiration.
  • L'algorithme de clé. Les valeurs d'algorithme de clé valides sont RSA_2048 et ECDSA_P256.
  • Le pool d'autorités de certification. Le pool d'autorités de certification n'existe pas ou est mal configuré. Le pool d'autorités de certification doit contenir au moins une autorité de certification activée, et l'appelant doit disposer de l'autorisation privateca.capools.use sur le projetGoogle Cloud cible. Pour les certificats régionaux, la ressource de configuration d'émission de certificats doit être créée au même emplacement que le pool d'autorités de certification.

Si vous recevez une erreur Failed to create a managed certificate, vérifiez les points suivants :

  • La ressource de configuration d'émission de certificats que vous avez spécifiée lors de la création du certificat existe.
  • L'appelant dispose de l'autorisation certificatemanager.certissuanceconfigs.use sur la ressource de configuration d'émission de certificats que vous avez spécifiée lors de la création du certificat.
  • Le certificat se trouve au même emplacement que la ressource de configuration d'émission de certificat.

Si vous recevez une erreur Failed to renew certificate ou Failed to provision certificate, vérifiez les points suivants :

  • Le compte de service Certificate Manager dispose de l'autorisation roles/privateca.certificateRequester sur le pool d'autorités de certification spécifié dans la ressource de configuration d'émission de certificats utilisée pour ce certificat.

    Exécutez la commande suivante pour vérifier les autorisations sur le pool d'autorités de certification cible :

    gcloud privateca pools get-iam-policy CA_POOL
--location REGION

    Remplacez les éléments suivants :

    • CA_POOL : chemin d'accès complet à la ressource et nom du pool d'autorités de certification cible
    • REGION : région Google Cloud cible

  • Une règle d'émission de certificats est en vigueur. Pour en savoir plus, consultez Problèmes liés aux restrictions de la règle d'émission.

Problèmes liés aux restrictions des règles d'émission

Si Certificate Manager n'est pas compatible avec les modifications apportées à un certificat par la règle d'émission de certificats, le provisionnement du certificat échoue et l'état du certificat géré passe à Failed. Pour résoudre le problème, vérifiez les points suivants :

Pour les problèmes précédents, étant donné que CA Service a déjà émis le certificat, vous êtes facturé conformément aux tarifs de CA Service.

Si vous recevez l'erreur Rejected for issuing certificates from the configured CA Pool, cela signifie que la règle d'émission de certificats a bloqué le certificat demandé. Pour résoudre l'erreur, vérifiez les points suivants :

  • Le mode d'émission du certificat autorise les demandes de signature de certificat (CSR).
  • Les types de clés autorisés sont compatibles avec l'algorithme de clé de la ressource de configuration d'émission de certificat utilisée.

Pour les problèmes précédents, étant donné que Certificate Authority Service n'a pas émis le certificat, Certificate Authority Service ne vous facture pas.

Problèmes liés à la correspondance des noms d'hôte IAP

Si vous obtenez l'erreur The host name provided does not match the SSL certificate on the server de manière inattendue lorsque vous utilisez Certificate Manager avec Identity-Aware Proxy (IAP), vérifiez que vous utilisez un certificat valide pour ce nom d'hôte. Vous pouvez également lister les entrées de mappage de certificats que vous avez configurées sur votre mappage de certificats. Chaque nom d'hôte ou nom d'hôte générique que vous prévoyez d'utiliser avec IAP doit avoir une entrée dédiée. Si l'entrée de mappage de certificats pour votre nom d'hôte est manquante, créez une entrée de mappage de certificats.

Les requêtes qui se rabattent sur l'entrée de mappage de certificats principale lors de la sélection du certificat sont toujours rejetées par IAP.

Échecs de validation de domaine multiperspective

Google Cloud renouvelle régulièrement vos certificats gérés par Google en les demandant aux autorités de certification. Les autorités de certification avec lesquellesGoogle Cloud collabore pour renouveler vos certificats utilisent une méthode de validation de domaine multi-perspective appelée corroboration d'émission multi-perspective (MPIC, Multi-Perspective Issuance Corroboration). Dans le cadre de ce processus, les autorités de certification vérifient le contrôle du domaine en vérifiant les paramètres DNS du domaine et, dans le cas de l'autorisation de l'équilibreur de charge, en tentant de contacter le serveur derrière l'adresse IP du domaine. Ces vérifications sont effectuées à partir de plusieurs points de vue sur Internet. Si le processus de validation échoue, les certificats gérés par Google ne sont pas renouvelés. Par conséquent, votre équilibreur de charge diffuse un certificat expiré auprès des clients, ce qui entraîne des erreurs de certificat pour les utilisateurs du navigateur et des échecs de connexion pour les clients API.

Pour éviter les échecs de validation de domaine multiperspective pour les enregistrements DNS mal configurés, tenez compte des points suivants :

  • Vos enregistrements DNS A (IPv4) et DNS AAAA (IPv6) pour vos domaines et tous vos sous-domaines pointent uniquement vers l'adresse IP (ou les adresses IP) associée à la ou aux règles de transfert de l'équilibreur de charge. La présence d'autres adresses dans l'enregistrement peut entraîner l'échec de la validation.
  • L'autorité de certification, qui valide les enregistrements DNS, interroge les enregistrements DNS à partir de plusieurs emplacements. Assurez-vous que votre fournisseur DNS répond de manière cohérente à toutes les demandes de validation de domaine globales.
  • L'utilisation de GeoDNS (renvoi d'adresses IP différentes en fonction de l'emplacement de la requête) ou de règles DNS basées sur l'emplacement peut entraîner des réponses incohérentes et l'échec de la validation. Si votre fournisseur DNS utilise GeoDNS, désactivez-le ou assurez-vous que toutes les régions renvoient la même adresse IP de l'équilibreur de charge.
  • Si vous utilisez la méthode d'autorisation de l'équilibreur de charge pour provisionner des certificats gérés par Google, vous devez spécifier explicitement les adresses IP de votre équilibreur de charge dans votre configuration DNS. Les couches intermédiaires, telles qu'un CDN, peuvent entraîner un comportement imprévisible. L'adresse IP doit être directement accessible sans redirection, pare-feu ni CDN dans le chemin de la requête. Pour en savoir plus, consultez la section Équilibreurs de charge derrière un CDN de ce document.
  • Nous vous recommandons d'utiliser l'outil de vérification de la propagation DNS globale de votre choix pour vérifier que tous les enregistrements DNS pertinents sont résolus correctement et de manière cohérente dans le monde entier.

Vérifier les modifications de configuration

Après avoir configuré vos enregistrements DNS, vous pouvez vérifier qu'ils sont corrects en créant un certificat et en l'associant à votre équilibreur de charge, ainsi qu'au certificat existant. Cette étape force une vérification immédiate du provisionnement des certificats auprès de l'autorité de certification, ce qui vous permet de vérifier les modifications de votre configuration en quelques minutes. Sans cela, le renouvellement automatique du certificat existant peut prendre des jours ou des semaines, ce qui laisse planer une incertitude sur votre configuration.

Si l'état du certificat devient ACTIVE, cela signifie que le certificat a été émis, ce qui confirme que votre configuration DNS est correcte. À ce stade, nous vous recommandons de supprimer le certificat précédent pour éviter d'avoir deux certificats distincts pour le même domaine. Ce processus n'interrompt pas le trafic vers votre équilibreur de charge.

Le nouveau certificat sert d'outil de validation. Sa création confirme que la validation de domaine multiperspective à l'aide de MPIC fonctionne correctement pour votre configuration.

Équilibreurs de charge derrière un CDN

Pour les équilibreurs de charge pour lesquels CDN est activé, certains fournisseurs CDN tiers dans le chemin de la requête peuvent empêcher la validation des requêtes. Cela peut se produire si le fournisseur de CDN utilise activement un proxy pour le trafic HTTP(S).

Dans ce cas, nous vous recommandons d'utiliser la méthode d'autorisation DNS pour provisionner des certificats gérés par Google. Cette dernière approche ne nécessite pas que l'autorité de certification contacte votre équilibreur de charge.

Étapes suivantes