Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Memecahkan Masalah Pengelola Sertifikat

Halaman ini menjelaskan error paling umum yang mungkin Anda alami saat menggunakan Certificate Manager. Bagian ini juga memberikan langkah-langkah untuk mendiagnosis dan menyelesaikan error tersebut.

Masalah terkait sertifikat TLS (SSL)

Untuk mendapatkan bantuan dalam menyelesaikan masalah terkait sertifikat TLS (SSL), lihat Memecahkan masalah sertifikat SSL.

Memecahkan masalah sertifikat yang dikelola Google

Untuk sertifikat yang dikelola Google, Anda dapat memeriksa status resource sertifikat dan status otorisasi untuk setiap domain yang terkait dengan sertifikat.

Status sertifikat terkelola

Periksa status sertifikat terkelola (managed.state):

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION \
    --format="get(managed.state)"

Ganti kode berikut:

CERTIFICATE_NAME: nama sertifikat.
LOCATION: lokasi Google Cloud target. Lokasi defaultnya adalah global.

Nilai untuk status sertifikat adalah sebagai berikut:

Negara bagian/Provinsi Penjelasan

Negara bagian/Provinsi	Penjelasan
`PROVISIONING`	Certificate Manager sedang menyediakan atau memperpanjang sertifikat. Penyediaan sertifikat yang dikelola Google dapat memerlukan waktu hingga 60 menit setelah perubahan konfigurasi DNS dan load balancer diterapkan di internet. Jika sertifikat tetap dalam status `PROVISIONING`, periksa kolom `managed.provisioningIssue` atau `managed.authorizationAttemptInfo` untuk mengetahui informasi selengkapnya.
`ACTIVE`	Sertifikat telah disediakan. Sertifikat ini siap menyalurkan traffic setelah Anda mengaitkannya dengan entri peta sertifikat dan melampirkannya ke proxy target atau load balancer.
`FAILED`	Beberapa upaya penyediaan atau perpanjangan sertifikat gagal, dan Certificate Manager berhenti menyediakan sertifikat. Certificate Manager tidak akan mencoba kembali penyediaan dalam status ini. Untuk mengatasi masalah ini, perbaiki masalah konfigurasi DNS atau load balancer yang mendasarinya, hapus sertifikat yang gagal, dan buat resource sertifikat terkelola baru. Untuk mengetahui detail tentang kegagalan, periksa kolom `managed.provisioningIssue` atau `managed.authorizationAttemptInfo`.

PROVISIONING

Certificate Manager sedang menyediakan atau memperpanjang sertifikat.

Penyediaan sertifikat yang dikelola Google dapat memerlukan waktu hingga 60 menit setelah perubahan konfigurasi DNS dan load balancer diterapkan di internet. Jika sertifikat tetap dalam status PROVISIONING, periksa kolom managed.provisioningIssue atau managed.authorizationAttemptInfo untuk mengetahui informasi selengkapnya.

ACTIVE Sertifikat telah disediakan. Sertifikat ini siap menyalurkan traffic setelah Anda mengaitkannya dengan entri peta sertifikat dan melampirkannya ke proxy target atau load balancer.

FAILED

Beberapa upaya penyediaan atau perpanjangan sertifikat gagal, dan Certificate Manager berhenti menyediakan sertifikat. Certificate Manager tidak akan mencoba kembali penyediaan dalam status ini.

Untuk mengatasi masalah ini, perbaiki masalah konfigurasi DNS atau load balancer yang mendasarinya, hapus sertifikat yang gagal, dan buat resource sertifikat terkelola baru.

Untuk mengetahui detail tentang kegagalan, periksa kolom managed.provisioningIssue atau managed.authorizationAttemptInfo.

Status upaya otorisasi domain

Periksa status upaya otorisasi untuk domain yang terkait dengan sertifikat:

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION \
    --format="get(managed.authorizationAttemptInfo)"

Ganti kode berikut:

CERTIFICATE_NAME: nama sertifikat.
LOCATION: lokasi Google Cloud target. Lokasi defaultnya adalah global.

Setiap domain yang terkait dengan sertifikat memiliki salah satu status berikut (managed.authorizationAttemptInfo.state):

Negara bagian/Provinsi	Penjelasan
`AUTHORIZING`	Certificate Manager menyediakan sertifikat untuk domain ini dan memberikan otorisasi pada domain.
`AUTHORIZED`	Domain diberi otorisasi. Jika sertifikat menyertakan beberapa domain, sertifikat akan disediakan dan menjadi `ACTIVE` hanya setelah semua domainnya mencapai status `AUTHORIZED`.
`FAILED`	Upaya untuk mengizinkan domain gagal. Kegagalan ini mencegah Certificate Manager menerbitkan sertifikat terkelola. Untuk mendiagnosis masalah, periksa kolom `failureReason`, `details`, dan `troubleshooting` untuk domain yang gagal.

Alasan kegagalan otorisasi domain

Jika status upaya otorisasi domain adalah FAILED, kolom managed.authorizationAttemptInfo.failureReason akan menunjukkan alasan kegagalan. Tabel berikut menjelaskan kemungkinan nilai:

Alasan kegagalan Penjelasan

Alasan kegagalan	Penjelasan
`CONFIG`	DNS atau load balancer Anda memiliki masalah konfigurasi untuk domain ini. Untuk mengetahui informasi selengkapnya, lihat Tabel pemecahan masalah error yang mendetail.
`CAA`	Penyediaan sertifikat gagal karena masalah data CAA, seperti batasan CAA eksplisit atau kegagalan dalam memeriksa data CAA untuk domain. Untuk mengatasi masalah ini, pastikan konfigurasi zona DNS Anda mengizinkan Certificate Authority menerbitkan sertifikat untuk domain Anda. Untuk otorisasi DNS per project (termasuk semua sertifikat regional), Certificate Manager hanya menggunakan Layanan Kepercayaan Google (`pki.goog`), jadi pastikan data CAA Anda mengizinkan `pki.goog`. Untuk otorisasi DNS dan otorisasi load balancer lainnya, Certificate Manager dapat menggunakan Layanan Kepercayaan Google (`pki.goog`) dan Let's Encrypt (`letsencrypt.org`). Untuk mengetahui informasi selengkapnya, lihat Menentukan CA yang dapat menerbitkan sertifikat yang dikelola Google.
`RATE_LIMITED`	Permintaan dibatasi oleh certificate authority atau sistem internal, seperti batas mingguan Let's Encrypt untuk sertifikat per domain terdaftar. Untuk mengatasi masalah ini, tunggu hingga batas kapasitas berakhir. Jangan meminta sertifikat duplikat yang tidak perlu di berbagai project.

CONFIG

DNS atau load balancer Anda memiliki masalah konfigurasi untuk domain ini.

Untuk mengetahui informasi selengkapnya, lihat Tabel pemecahan masalah error yang mendetail.

CAA

Penyediaan sertifikat gagal karena masalah data CAA, seperti batasan CAA eksplisit atau kegagalan dalam memeriksa data CAA untuk domain.

Untuk mengatasi masalah ini, pastikan konfigurasi zona DNS Anda mengizinkan Certificate Authority menerbitkan sertifikat untuk domain Anda. Untuk otorisasi DNS per project (termasuk semua sertifikat regional), Certificate Manager hanya menggunakan Layanan Kepercayaan Google (pki.goog), jadi pastikan data CAA Anda mengizinkan pki.goog. Untuk otorisasi DNS dan otorisasi load balancer lainnya, Certificate Manager dapat menggunakan Layanan Kepercayaan Google (pki.goog) dan Let's Encrypt (letsencrypt.org). Untuk mengetahui informasi selengkapnya, lihat Menentukan CA yang dapat menerbitkan sertifikat yang dikelola Google.

RATE_LIMITED

Permintaan dibatasi oleh certificate authority atau sistem internal, seperti batas mingguan Let's Encrypt untuk sertifikat per domain terdaftar.

Untuk mengatasi masalah ini, tunggu hingga batas kapasitas berakhir. Jangan meminta sertifikat duplikat yang tidak perlu di berbagai project.

Error terkait sertifikat Certificate Manager

Bagian ini memberikan informasi pemecahan masalah untuk error yang terkait dengan kolom authorizationAttemptInfo pada sertifikat Certificate Manager yang dikelola Google. Error ditampilkan di bagian managed.authorizationAttemptInfo.troubleshooting hanya jika kolom berikut memiliki nilai ini:

managed.authorizationAttemptInfo.state = FAILED
managed.authorizationAttemptInfo.failureReason = CONFIG

Untuk mengetahui informasi selengkapnya tentang error dan cara mengatasinya, lihat tabel berikut:

Error	Deskripsi
`CNAME_MISMATCH`	Error ini hanya terjadi untuk otorisasi DNS jika nilai data `CNAME` yang diharapkan tidak cocok dengan nilai data `CNAME` yang di-resolve. Untuk memperbaiki masalah ini, tambahkan data CNAME yang diharapkan ke konfigurasi DNS Anda. Untuk mengetahui informasi selengkapnya, lihat bagian Menambahkan data CNAME ke konfigurasi DNS Anda.
`RESOLVED_TO_NOT_SERVING`	Error ini terjadi jika domain berisi data `A` dan `AAAA` DNS yang mengarah ke alamat IP tertentu yang sertifikatnya tidak dilampirkan ke load balancer mana pun. Error ini hanya berlaku untuk sertifikat dengan otorisasi load balancer. Anda dapat menyediakan sertifikat menggunakan otorisasi load balancer hanya setelah mengonfigurasi load balancer. Untuk mengatasi masalah ini, perbarui data DNS A dan AAAA domain agar mengarah ke alamat IP load balancer Anda. Alamat IP yang di-resolve dari data `A` dan `AAAA` DNS domain disimpan dalam parameter `ips.resolved`, dan alamat IP load balancer tempat sertifikat ini dilampirkan disimpan dalam parameter `ips.serving`. Data `A` dan `AAAA` DNS domain hanya boleh mengarah ke alamat IP load balancer. Misalnya, jika data `A` DNS mengarah ke alamat IP load balancer, tetapi data `AAAA` DNS mengarah ke alamat IP yang berbeda, error `RESOLVED_TO_NOT_SERVING` akan terjadi. Anda juga harus memastikan bahwa data `A` dan `AAAA` DNS domain di-resolve dengan benar dan konsisten di seluruh dunia. Untuk mengetahui informasi selengkapnya, lihat bagian Kegagalan validasi domain multi-perspektif.
`NO_RESOLVED_IPS`	Error ini terjadi jika domain tidak berisi data `A` dan `AAAA` DNS. Error ini hanya berlaku untuk sertifikat dengan otorisasi load balancer. Anda dapat menyediakan sertifikat menggunakan otorisasi load balancer hanya setelah mengonfigurasi load balancer. Untuk mengatasi masalah ini, tambahkan data DNS `A` dan `AAAA` untuk domain ini dan pastikan data tersebut mengarah ke alamat IP proxy HTTPS target atau layanan edge cache Media CDN. Anda juga harus memastikan bahwa data `A` dan `AAAA` DNS domain di-resolve dengan benar dan konsisten di seluruh dunia. Untuk mengetahui informasi selengkapnya, lihat bagian Kegagalan validasi domain multi-perspektif.
`RESOLVED_TO_SERVING_ON_ALT_PORTS`	Error ini terjadi saat domain yang berisi data `A` dan `AAAA` DNS mengarah ke alamat IP load balancer tempat sertifikat ini dilampirkan, tetapi port `443` tidak terbuka di alamat IP tersebut. Error ini hanya berlaku untuk sertifikat dengan otorisasi load balancer. Anda dapat menyediakan sertifikat menggunakan otorisasi load balancer hanya setelah mengonfigurasi load balancer. Untuk mengatasi masalah ini, pastikan load balancer dengan sertifikat yang dilampirkan memproses port `443`. Parameter `ips.serving_on_alt_ports` menyimpan daftar alamat IP load balancer yang port `443`-nya tidak terbuka. Anda juga harus memastikan bahwa data `A` dan `AAAA` DNS domain di-resolve dengan benar dan konsisten di seluruh dunia. Untuk mengetahui informasi selengkapnya, lihat bagian Kegagalan validasi domain multi-perspektif.
`CERTIFICATE_NOT_ATTACHED`	Error ini terjadi jika sertifikat tidak dilampirkan ke load balancer. Untuk mengatasi masalah ini, pastikan sertifikat dilampirkan ke load balancer. Untuk mengetahui informasi selengkapnya, lihat bagian Men-deploy sertifikat ke load balancer. Error ini juga terjadi saat sertifikat adalah bagian dari peta sertifikat yang dilampirkan ke proxy HTTPS target, tetapi proxy tidak dilampirkan ke aturan penerusan. Untuk mengatasi masalah ini, lampirkan proxy HTTPS target ke aturan penerusan yang sesuai. Untuk mengetahui informasi selengkapnya, lihat Ringkasan proxy target dan Ringkasan aturan penerusan. Error ini hanya berlaku untuk sertifikat dengan otorisasi load balancer. Anda dapat menyediakan sertifikat menggunakan otorisasi load balancer hanya setelah mengonfigurasi load balancer.

Error saat melepaskan peta sertifikat dari proxy target

Saat melepas peta sertifikat dari proxy target, Anda akan menerima error berikut:

"There must be at least one certificate configured for a target proxy."

Error ini terjadi jika tidak ada sertifikat yang ditetapkan ke proxy target selain yang ditentukan dalam peta sertifikat yang ingin Anda lepaskan. Untuk melepaskan peta, tetapkan terlebih dahulu satu atau beberapa sertifikat langsung ke proxy.

Terjadi error saat mengaitkan entri peta sertifikat dengan sertifikat

Saat mengaitkan entri peta sertifikat dengan sertifikat, Anda akan menerima error berikut:

"certificate can't be used more than 100 times"

Error ini terjadi saat Anda mencoba mengaitkan entri peta sertifikat dengan sertifikat yang sudah dikaitkan dengan 100 entri peta sertifikat. Untuk mengatasi masalah tersebut, lakukan langkah berikut:

Untuk sertifikat yang dikelola Google, buat sertifikat lain. Kaitkan entri peta sertifikat baru dengan sertifikat baru ini, dan lampirkan sertifikat baru ke load balancer.
Untuk sertifikat yang dikelola sendiri, upload kembali sertifikat dengan nama baru. Kaitkan entri peta sertifikat baru dengan sertifikat baru ini, dan lampirkan sertifikat baru ke load balancer.

Masalah terkait sertifikat yang diterbitkan oleh instance CA Service

Bagian ini mencantumkan error paling umum yang mungkin Anda alami saat menggunakan Certificate Manager untuk men-deploy sertifikat yang dikelola Google yang diterbitkan oleh instance CA Service Anda dan kemungkinan penyebabnya.

Jika Anda menerima error Failed to create Certificate Issuance Config resources, periksa hal berikut:

Masa aktif. Nilai masa berlaku sertifikat yang valid adalah dari 21 hingga 30 hari.
Persentase periode rotasi. Persentase periode rotasi yang valid adalah dari 1 hingga 99 persen. Anda harus menetapkan persentase periode rotasi sehubungan dengan masa aktif sertifikat sehingga perpanjangan sertifikat terjadi setidaknya 7 hari setelah sertifikat diterbitkan dan setidaknya 7 hari sebelum masa berlakunya habis.
Algoritma kunci. Nilai algoritma kunci yang valid adalah: RSA_2048 dan ECDSA_P256.
Kumpulan CA. Kumpulan CA tidak ada atau salah dikonfigurasi. Kumpulan CA harus berisi setidaknya satu CA yang diaktifkan dan pemanggil harus memiliki izin privateca.capools.use pada project Google Cloud target. Untuk sertifikat regional, resource konfigurasi penerbitan sertifikat harus dibuat di lokasi yang sama dengan kumpulan CA.

Jika Anda menerima error Failed to create a managed certificate, periksa hal berikut:

Resource konfigurasi penerbitan sertifikat yang Anda tentukan saat membuat sertifikat sudah ada.
Pemanggil memiliki izin certificatemanager.certissuanceconfigs.use pada resource Configuration penerbitan sertifikat yang Anda tentukan saat membuat sertifikat.
Sertifikat berada di lokasi yang sama dengan resource konfigurasi penerbitan sertifikat.

Jika Anda menerima error Failed to renew certificate atau Failed to provision certificate, periksa hal berikut:

Akun layanan Certificate Manager memiliki izin roles/privateca.certificateRequester pada kumpulan CA yang ditentukan dalam resource konfigurasi penerbitan sertifikat yang digunakan untuk sertifikat ini.

Gunakan perintah berikut untuk memeriksa izin pada kumpulan CA target:
```
gcloud privateca pools get-iam-policy CA_POOL
--location REGION
```
Ganti kode berikut:
- CA_POOL: jalur resource lengkap dan nama kumpulan CA target
- REGION: region Google Cloud target
Kebijakan penerbitan sertifikat berlaku. Untuk mengetahui informasi selengkapnya, lihat Masalah terkait batasan kebijakan penerbitan.

Masalah terkait batasan kebijakan penerbitan

Jika Certificate Manager tidak mendukung perubahan pada sertifikat yang dibuat oleh kebijakan penerbitan sertifikat, penyediaan sertifikat akan gagal dan status sertifikat terkelola akan berubah menjadi Failed. Untuk mengatasi masalah ini, konfirmasi hal berikut:

Batasan identitas sertifikat memungkinkan passthrough subjek dan nama alternatif subjek (SAN).
Batasan masa berlaku maksimum sertifikat lebih besar daripada masa berlaku resource konfigurasi penerbitan sertifikat.
Kebijakan penerbitan sertifikat dikonfigurasi untuk mengizinkan sertifikat TLS server entity akhir (leaf).

Untuk masalah sebelumnya, karena CA Service telah menerbitkan sertifikat, Anda akan ditagih sesuai dengan harga CA Service.

Jika Anda menerima error Rejected for issuing certificates from the configured CA Pool, hal ini menunjukkan bahwa kebijakan penerbitan sertifikat telah memblokir sertifikat yang diminta. Untuk mengatasi error, periksa hal berikut:

Mode penerbitan sertifikat memungkinkan permintaan penandatanganan sertifikat (CSR).
Jenis kunci yang diizinkan kompatibel dengan algoritma kunci resource konfigurasi penerbitan sertifikat yang digunakan.

Untuk masalah sebelumnya, karena CA Service belum menerbitkan sertifikat, Anda tidak akan ditagih oleh CA Service.

Masalah terkait pencocokan nama host IAP

Jika Anda tiba-tiba mendapatkan error, The host name provided does not match the SSL certificate on the server, saat menggunakan Certificate Manager dengan Identity-Aware Proxy (IAP), pastikan Anda menggunakan sertifikat yang valid untuk nama host tersebut. Cantumkan juga entri peta sertifikat yang telah Anda konfigurasi di peta sertifikat. Setiap nama host atau nama host karakter pengganti yang ingin Anda gunakan dengan IAP harus memiliki entri khusus. Jika entri peta sertifikat untuk nama host Anda tidak ada, buat entri peta sertifikat.

Permintaan yang kembali ke entri peta sertifikat utama selama pemilihan sertifikat selalu ditolak oleh IAP.

Kegagalan validasi domain multi-perspektif

Google Cloud memperpanjang sertifikat yang dikelola Google secara berkala dengan memintanya dari certificate authority (CA). CA yang bekerja sama denganGoogle Cloud untuk memperpanjang sertifikat Anda menggunakan metode validasi domain multi-perspektif yang dikenal sebagai Multi-Perspective Issuance Corroboration (MPIC). Sebagai bagian dari proses ini, certificate authority memverifikasi kontrol domain dengan memeriksa setelan DNS domain, dan dalam hal load balancer authorization, dengan mencoba menghubungi server di balik alamat IP domain. Verifikasi ini dilakukan dari beberapa sudut pandang di seluruh internet. Jika proses validasi gagal, sertifikat yang dikelola Google akan gagal diperpanjang. Akibatnya, load balancer Anda menyajikan sertifikat yang sudah tidak berlaku kepada klien, sehingga pengguna browser mengalami error sertifikat dan klien API mengalami kegagalan koneksi.

Untuk mencegah kegagalan validasi domain multi-perspektif untuk data DNS yang salah dikonfigurasi, perhatikan hal berikut:

Data DNS A (IPv4) dan data DNS AAAA (IPv6) untuk domain dan subdomain Anda hanya mengarah ke alamat IP yang terkait dengan aturan penerusan load balancer. Keberadaan alamat lain dalam data dapat menyebabkan kegagalan validasi.
CA, yang melakukan validasi data DNS, mengkueri data DNS dari beberapa lokasi. Pastikan penyedia DNS Anda merespons secara konsisten semua permintaan validasi domain global.
Menggunakan GeoDNS (menampilkan alamat IP yang berbeda berdasarkan lokasi permintaan) atau kebijakan DNS berbasis lokasi dapat menyebabkan respons yang tidak konsisten dan menyebabkan validasi gagal. Jika penyedia DNS Anda menggunakan GeoDNS, nonaktifkan, atau pastikan semua region menampilkan alamat IP load balancer yang sama.
Jika Anda menggunakan metode otorisasi load balancer untuk menyediakan sertifikat yang dikelola Google, Anda harus menentukan alamat IP load balancer secara eksplisit dalam konfigurasi DNS. Lapisan perantara, seperti CDN, dapat menyebabkan perilaku yang tidak dapat diprediksi. Alamat IP harus dapat diakses secara langsung tanpa pengalihan, firewall, atau CDN di jalur permintaan. Untuk mempelajari lebih lanjut, lihat bagian Load balancer di belakang CDN dalam dokumen ini.
Sebaiknya gunakan pemeriksa propagasi global DNS pilihan Anda untuk memverifikasi bahwa semua data DNS yang relevan di-resolve dengan benar dan konsisten di seluruh dunia.

Memverifikasi perubahan konfigurasi

Setelah mengonfigurasi data DNS, Anda dapat memverifikasi bahwa data tersebut sudah benar dengan membuat sertifikat baru dan menghubungkannya ke load balancer bersama dengan sertifikat yang ada. Langkah ini memaksa pemeriksaan penyediaan sertifikat langsung dengan CA, sehingga Anda dapat memverifikasi perubahan konfigurasi dalam hitungan menit. Tanpa ini, perpanjangan otomatis sertifikat yang ada dapat memerlukan waktu berhari-hari atau berminggu-minggu, sehingga menimbulkan ketidakpastian terkait penyiapan Anda.

Jika status sertifikat menjadi ACTIVE, berarti sertifikat telah diterbitkan, sehingga mengonfirmasi bahwa konfigurasi DNS Anda sudah benar. Pada tahap ini, sebaiknya hapus sertifikat sebelumnya agar tidak ada dua sertifikat terpisah untuk domain yang sama. Proses ini tidak mengganggu traffic ke load balancer Anda.

Sertifikat baru berfungsi sebagai alat validasi—pembuatannya mengonfirmasi bahwa validasi domain multi-perspektif menggunakan MPIC berfungsi dengan benar untuk penyiapan Anda.

Load balancer di balik CDN

Untuk load balancer yang mengaktifkan CDN, beberapa penyedia CDN pihak ketiga di jalur permintaan mungkin mencegah permintaan validasi berhasil. Hal ini dapat terjadi jika penyedia CDN secara aktif mem-proxy traffic HTTP(S).

Dalam kasus tersebut, sebaiknya gunakan metode otorisasi DNS untuk menyediakan sertifikat yang dikelola Google. Pendekatan yang kedua tidak mengharuskan CA untuk menghubungi load balancer Anda.