Questa pagina descrive gli errori più comuni che potresti riscontrare durante l'utilizzo di Certificate Manager. Fornisce inoltre i passaggi per diagnosticare e risolvere questi errori.
Problemi relativi ai certificati TLS (SSL)
Per assistenza nella risoluzione dei problemi relativi ai certificati TLS (SSL), consulta Risolvi i problemi relativi ai certificati SSL.
Risolvi i problemi relativi ai certificati gestiti da Google
Per i certificati gestiti da Google, puoi controllare lo stato della risorsa del certificato e lo stato dell'autorizzazione per ogni dominio associato al certificato.
Stato del certificato gestito
Controlla lo stato del certificato gestito (managed.state):
gcloud certificate-manager certificates describe CERTIFICATE_NAME \
--location=LOCATION \
--format="get(managed.state)"
Sostituisci quanto segue:
CERTIFICATE_NAME: il nome del certificato.LOCATION: la località Google Cloud target. La località predefinita èglobal.
I valori per lo stato del certificato sono i seguenti:
| Stato | Spiegazione |
|---|---|
PROVISIONING |
Certificate Manager sta eseguendo il provisioning o il rinnovo del certificato. Il provisioning di un certificato gestito da Google può richiedere fino a 60 minuti dopo la propagazione su internet delle modifiche alla configurazione del DNS e del bilanciatore del carico. Se il certificato rimane nello stato |
ACTIVE |
Il provisioning del certificato è stato eseguito. È pronto per gestire il traffico dopo averlo associato a una voce della mappa dei certificati e collegato a un proxy di destinazione o a un bilanciatore del carico. |
FAILED |
Più tentativi di provisioning o rinnovo dei certificati non sono riusciti e Certificate Manager ha interrotto il provisioning del certificato. Certificate Manager non riprova il provisioning in questo stato. Per risolvere il problema, correggi i problemi di configurazione del DNS o del bilanciatore del carico sottostanti, elimina il certificato non riuscito e crea una nuova risorsa del certificato gestito. Per informazioni dettagliate sull'errore, controlla i campi |
Stato del tentativo di autorizzazione del dominio
Controlla lo stato del tentativo di autorizzazione per i domini associati a un certificato:
gcloud certificate-manager certificates describe CERTIFICATE_NAME \
--location=LOCATION \
--format="get(managed.authorizationAttemptInfo)"
Sostituisci quanto segue:
CERTIFICATE_NAME: il nome del certificato.LOCATION: la località Google Cloud target. La località predefinita èglobal.
Ogni dominio associato al certificato ha uno dei seguenti stati (managed.authorizationAttemptInfo.state):
| Stato | Spiegazione |
|---|---|
AUTHORIZING |
Certificate Manager sta eseguendo il provisioning del certificato per questo dominio e lo sta autorizzando. |
AUTHORIZED |
Il dominio è autorizzato. Se il certificato include più domini, viene eseguito il provisioning del certificato, che diventa ACTIVE solo dopo che tutti i relativi domini raggiungono lo stato AUTHORIZED.
|
FAILED |
Il tentativo di autorizzare il dominio non è riuscito. Questo errore impedisce a Certificate Manager di emettere il certificato gestito. Per diagnosticare il problema, controlla i campi failureReason, details e troubleshooting del dominio in errore.
|
Motivi dell'errore di autorizzazione del dominio
Quando lo stato del tentativo di autorizzazione di un dominio è FAILED, il campo managed.authorizationAttemptInfo.failureReason indica il motivo dell'errore. La tabella seguente descrive i possibili valori:
| Motivo dell'errore | Spiegazione |
|---|---|
CONFIG |
Il DNS o il bilanciatore del carico presenta un problema di configurazione per questo dominio. Per saperne di più, consulta la tabella dettagliata degli errori di risoluzione dei problemi. |
CAA |
Il provisioning del certificato non è riuscito a causa di un problema con il record CAA, ad esempio una limitazione CAA esplicita o un errore durante il controllo dei record CAA per il dominio. Per risolvere il problema, assicurati che la configurazione della zona DNS consenta all'autorità di certificazione di emettere certificati per il tuo dominio. Per le autorizzazioni DNS per progetto (inclusi tutti i certificati regionali), Certificate Manager utilizza solo Google Trust Services ( |
RATE_LIMITED |
La richiesta è stata limitata dall'autorità di certificazione o dal sistema interno, ad esempio i limiti settimanali di Let's Encrypt sui certificati per dominio registrato. Per risolvere il problema, attendi la scadenza del limite di frequenza. Non richiedere certificati duplicati non necessari in progetti diversi. |
Errori relativi ai certificati di Certificate Manager
Questa sezione fornisce informazioni per la risoluzione dei problemi relativi agli errori nel campo authorizationAttemptInfo dei certificati di Certificate Manager gestiti da Google. Gli errori vengono visualizzati nella sezione managed.authorizationAttemptInfo.troubleshooting solo quando i seguenti campi hanno questi valori:
managed.authorizationAttemptInfo.state = FAILEDmanaged.authorizationAttemptInfo.failureReason = CONFIG
Per ulteriori informazioni sugli errori e su come risolverli, consulta la seguente tabella:
| Errore | Descrizione |
|---|---|
CNAME_MISMATCH |
Questo errore si verifica solo per le autorizzazioni DNS quando il valore del record CNAME previsto non corrisponde al valore del record CNAME risolto.
Per risolvere il problema, aggiungi il record CNAME previsto alla configurazione DNS. Per saperne di più, consulta la sezione Aggiungi il record CNAME alla configurazione DNS. |
RESOLVED_TO_NOT_SERVING |
Questo errore si verifica quando il dominio contiene record DNS A e AAAA che puntano a determinati indirizzi IP in cui il certificato non è collegato a nessun bilanciatore del carico.
L'errore si applica solo ai certificati con autorizzazioni del bilanciatore del carico. Puoi eseguire il provisioning dei certificati utilizzando l'autorizzazione del bilanciatore del carico solo dopo aver configurato il bilanciatore del carico.
Per risolvere il problema, aggiorna i record DNS A e AAAA del dominio in modo che puntino all'indirizzo IP del bilanciatore del carico. Gli indirizzi IP risolti dai record DNS
I record DNS
Devi inoltre assicurarti che i record DNS |
NO_RESOLVED_IPS |
Questo errore si verifica quando il dominio non contiene record DNS A e AAAA.
L'errore si applica solo ai certificati con autorizzazioni del bilanciatore del carico. Puoi eseguire il provisioning dei certificati utilizzando l'autorizzazione del bilanciatore del carico solo dopo aver configurato il bilanciatore del carico.
Per risolvere il problema, aggiungi i record DNS
Devi inoltre assicurarti che i record DNS |
RESOLVED_TO_SERVING_ON_ALT_PORTS |
Questo errore si verifica quando il dominio che contiene i record DNS A e AAAA punta agli indirizzi IP di un bilanciatore del carico a cui è allegato questo certificato, ma la porta 443 non è aperta su questi indirizzi IP.
L'errore si applica solo ai certificati con autorizzazioni del bilanciatore del carico. Puoi eseguire il provisioning dei certificati utilizzando l'autorizzazione del bilanciatore del carico solo dopo aver configurato il bilanciatore del carico.
Per risolvere il problema, assicurati che il bilanciatore del carico con il certificato allegato sia in ascolto sulla porta
Devi inoltre assicurarti che i record DNS |
CERTIFICATE_NOT_ATTACHED |
Questo errore si verifica quando il certificato non è collegato a un bilanciatore del carico. Per risolvere il problema, assicurati che il certificato sia collegato a un bilanciatore del carico. Per saperne di più, consulta la sezione Esegui il deployment del certificato in un bilanciatore del carico.
Questo errore si verifica anche quando un certificato fa parte di una mappa dei certificati collegata a un proxy HTTPS di destinazione, ma il proxy non è collegato a una regola di forwarding. Per risolvere il problema, collega il proxy HTTPS di destinazione alla regola di forwarding appropriata. Per saperne di più, consulta Panoramica dei proxy di destinazione e Panoramica delle regole di forwarding. L'errore si applica solo ai certificati con autorizzazioni del bilanciatore del carico. Puoi eseguire il provisioning dei certificati utilizzando l'autorizzazione del bilanciatore del carico solo dopo aver configurato il bilanciatore del carico. |
Errore durante lo scollegamento di una mappa dei certificati da un proxy di destinazione
Quando scolleghi una mappa dei certificati da un proxy di destinazione, ricevi il seguente errore:
"There must be at least one certificate configured for a target proxy."
Questo errore si verifica quando al proxy di destinazione non sono assegnati certificati, ad eccezione di quelli specificati nella mappa dei certificati che stai tentando di scollegare. Per scollegare la mappa, assegna prima uno o più certificati direttamente al proxy.
Errore durante l'associazione di una voce della mappa dei certificati a un certificato
Quando associ una voce della mappa dei certificati a un certificato, ricevi il seguente errore:
"certificate can't be used more than 100 times"
Questo errore si verifica quando provi ad associare una voce della mappa dei certificati a un certificato già associato a 100 voci della mappa dei certificati. Per risolvere il problema:
- Per i certificati gestiti da Google, crea un altro certificato. Associa le nuove voci della mappa dei certificati a questo nuovo certificato e collega quest'ultimo al bilanciatore del carico.
- Per i certificati autogestiti, carica nuovamente il certificato con un nuovo nome. Associa le nuove voci della mappa dei certificati al nuovo certificato e collega quest'ultimo al bilanciatore del carico.
Problemi relativi ai certificati emessi da un'istanza di Certificate Authority Service
Questa sezione elenca gli errori più comuni che potresti riscontrare durante l'utilizzo di Certificate Manager per il deployment dei certificati gestiti da Google emessi dalla tua istanza di Certificate Authority Service e le relative possibili cause.
Se ricevi l'errore Failed to create Certificate Issuance Config resources, controlla quanto segue:
- Lifetime. I valori validi per la durata del certificato sono compresi tra 21 e 30 giorni.
- La percentuale della finestra di rotazione. Le percentuali della finestra di rotazione valide sono comprese tra 1 e 99%. Devi impostare la percentuale della finestra di rotazione in relazione alla durata del certificato in modo che il rinnovo del certificato avvenga almeno 7 giorni dopo l'emissione del certificato e almeno 7 giorni prima della scadenza.
- L'algoritmo chiave. I valori validi per l'algoritmo della chiave sono:
RSA_2048eECDSA_P256. - Il pool CA. Il pool CA non esiste o non è configurato correttamente.
Il pool CA deve contenere almeno una CA abilitata e il chiamante deve disporre dell'autorizzazione
privateca.capools.usesul progettoGoogle Cloud di destinazione. Per i certificati regionali, la risorsa di configurazione dell'emissione dei certificati deve essere creata nella stessa località del pool CA.
Se ricevi un errore Failed to create a managed certificate, controlla quanto segue:
- La risorsa di configurazione dell'emissione dei certificati specificata durante la creazione del certificato esiste.
- Il chiamante dispone dell'autorizzazione
certificatemanager.certissuanceconfigs.usesulla risorsa di configurazione dell'emissione dei certificati specificata durante la creazione del certificato. - Il certificato si trova nella stessa località della risorsa di configurazione di emissione dei certificati.
Se ricevi un errore Failed to renew certificate o Failed to provision
certificate, controlla quanto segue:
Il account di servizio Certificate Manager dispone dell'autorizzazione
roles/privateca.certificateRequestersul pool CA specificato nella risorsa di configurazione dell'emissione dei certificati utilizzata per questo certificato.Utilizza il seguente comando per controllare le autorizzazioni nel pool CA di destinazione:
gcloud privateca pools get-iam-policy CA_POOL --location REGION
Sostituisci quanto segue:
CA_POOL: il percorso completo della risorsa e il nome del pool CA di destinazioneREGION: la regione Google Cloud di destinazione
È in vigore una policy di emissione dei certificati. Per saperne di più, consulta Problemi relativi alle limitazioni delle policy di emissione.
Problemi relativi alle limitazioni delle policy di emissione
Se Certificate Manager non supporta le modifiche a un certificato apportate dalla policy di emissione dei certificati, il provisioning del certificato non va a buon fine e lo stato del certificato gestito cambia in Failed. Per risolvere il problema, verifica quanto segue:
- I vincoli di identità del certificato consentono il passthrough del soggetto e del nome alternativo del soggetto (SAN).
- Il vincolo della durata massima del certificato è maggiore della durata della risorsa di configurazione dell'emissione del certificato.
- La policy di emissione dei certificati è configurata per consentire i certificati TLS del server dell'entità finale (foglia).
Per i problemi precedenti, poiché CA Service ha già emesso il certificato, ti vengono addebitati i costi in base ai prezzi di CA Service.
Se ricevi l'errore Rejected for issuing certificates from the configured
CA Pool, significa che la policy di emissione dei certificati ha bloccato il certificato richiesto. Per risolvere l'errore, verifica quanto segue:
- La modalità di emissione del certificato consente le richieste di firma del certificato (CSR).
- I tipi di chiavi consentiti sono compatibili con l'algoritmo di chiave della risorsa di configurazione di emissione dei certificati in uso.
Per i problemi precedenti, poiché Certificate Authority Service non ha emesso il certificato, non ti viene addebitato alcun costo da Certificate Authority Service.
Problemi relativi alla corrispondenza dei nomi host IAP
Se ricevi inaspettatamente l'errore The host name provided does not match the
SSL certificate on the server quando utilizzi Certificate Manager con Identity-Aware Proxy (IAP), verifica di utilizzare un certificato valido per quel nome host. Inoltre, elenca le voci della mappa dei certificati che hai configurato nella mappa dei certificati. Ogni nome host o nome host con caratteri jolly che intendi utilizzare con IAP deve avere una voce dedicata. Se la voce della mappa dei certificati per il tuo nome host non è presente, crea una voce della mappa dei certificati.
Le richieste che tornano alla voce della mappa dei certificati principale durante la selezione del certificato vengono sempre rifiutate da IAP.
Errori di convalida del dominio da più prospettive
Google Cloud rinnova periodicamente i certificati gestiti da Google richiedendoli alle autorità di certificazione (CA). Le CA con cuiGoogle Cloud collabora per rinnovare i tuoi certificati utilizzano un metodo di convalida del dominio multi-prospettiva noto come Multi-Perspective Issuance Corroboration (MPIC). Nell'ambito di questa procedura, le autorità di certificazione verificano il controllo del dominio controllando le impostazioni DNS del dominio e, nel caso dell'autorizzazione del bilanciatore del carico, tentando di contattare il server dietro l'indirizzo IP del dominio. Queste verifiche vengono eseguite da più punti di osservazione su internet. Se la procedura di convalida non va a buon fine, i certificati gestiti da Google non vengono rinnovati. Di conseguenza, il bilanciatore del carico fornisce ai client un certificato scaduto, causando errori di certificato per gli utenti del browser e errori di connessione per i client API.
Per evitare errori di convalida del dominio da più prospettive per record DNS configurati in modo errato, tieni presente quanto segue:
- I record A DNS (IPv4) e record AAAA DNS (IPv6) per i tuoi domini e gli eventuali sottodomini puntano solo all'indirizzo IP (o agli indirizzi) associato alla regola di forwarding (o alle regole) del bilanciatore del carico. La presenza di altri indirizzi nel record può causare un errore di convalida.
- La CA, che esegue la convalida dei record DNS, esegue query sui record DNS da più località. Assicurati che il tuo provider DNS risponda in modo coerente a tutte le richieste di convalida del dominio globali.
- L'utilizzo di GeoDNS (che restituisce indirizzi IP diversi in base alla località della richiesta) o di policy DNS basate sulla località può portare a risposte incoerenti e causare errori di convalida. Se il tuo provider DNS utilizza GeoDNS, disattivalo o assicurati che tutte le regioni restituiscano lo stesso indirizzo IP del bilanciatore del carico.
- Se utilizzi il metodo di autorizzazione del bilanciatore del carico per eseguire il provisioning dei certificati gestiti da Google, devi specificare esplicitamente gli indirizzi IP del bilanciatore del carico nella configurazione DNS. I livelli intermedi, come una CDN, possono causare comportamenti imprevedibili. L'indirizzo IP deve essere direttamente accessibile senza reindirizzamenti, firewall o CDN nel percorso della richiesta. Per saperne di più, consulta la sezione Bilanciatori del carico dietro una CDN in questo documento.
- Ti consigliamo di utilizzare uno strumento di controllo della propagazione DNS globale a tua scelta per verificare che tutti i record DNS pertinenti vengano risolti in modo corretto e coerente in tutto il mondo.
Verifica le modifiche alla configurazione
Dopo aver configurato i record DNS, puoi verificare che siano corretti creando un nuovo certificato e collegandolo al bilanciatore del carico insieme al certificato esistente. Questo passaggio forza un controllo immediato del provisioning dei certificati con la CA, consentendoti di verificare le modifiche alla configurazione in pochi minuti. Senza questo, i rinnovi automatici del certificato esistente possono richiedere giorni o settimane, lasciando incertezza sulla configurazione.
Se lo stato del certificato diventa ACTIVE, significa che il certificato è stato emesso, confermando così che la configurazione DNS è corretta. A questo punto, ti consigliamo di rimuovere il certificato precedente per evitare di avere due certificati distinti per lo stesso dominio. Questo processo non interrompe il traffico verso il bilanciatore del carico.
Il nuovo certificato funge da strumento di convalida: la sua creazione conferma che la convalida del dominio da più prospettive utilizzando MPIC funziona correttamente per la tua configurazione.
Bilanciatori del carico dietro una CDN
Per i bilanciatori del carico con CDN abilitata, alcuni provider CDN di terze parti nel percorso della richiesta potrebbero impedire il completamento delle richieste di convalida. Questo può accadere se il provider CDN sta attivamente eseguendo il proxy del traffico HTTP(S).
In questi casi, ti consigliamo di utilizzare il metodo di autorizzazione DNS per eseguire il provisioning dei certificati gestiti da Google. Quest'ultimo approccio non richiede che la CA contatti il bilanciatore del carico.