本頁面由 Cloud Translation API 翻譯而成。

Ingress mTLS CA 憑證到期

您目前查看的是 Apigee 和 Apigee Hybrid 說明文件。
這個主題沒有對應的 Apigee Edge 說明文件。

問題

在 apigee 命名空間中查看資源時，會顯示含有 Reason AIS_INGRESS_MTLS_CA_CERT_EXPIREY 的 ApigeeIssue。

錯誤訊息

執行 kubectl -n apigee get apigeeissues 後，系統會顯示類似下列的錯誤：

NAME                                    SEVERITY   REASON                             DOCUMENTATION                                                                                  AGE
ca-cert-expired-my-org-my-virtualhost   ERROR      AIS_INGRESS_MTLS_CA_CERT_EXPIREY   https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_EXPIREY   5h18m

可能原因

原因	說明
Ingress mTLS CA 憑證即將到期	設定的 Ingress mTLS CA 憑證將在 14 天內到期。
Ingress mTLS CA 憑證已過期	設定的 Ingress mTLS CA 憑證已過期。

原因：Ingress mTLS CA 憑證即將到期

Kubernetes 密鑰中儲存的 Ingress mTLS CA 憑證 (由 ApigeeRouteConfig 參照) 即將在 14 天內到期。

診斷

請執行下列指令：

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中 ISSUE_NAME 是問題的名稱。例如：ca-cert-expiring-soon-my-org-my-virtualhost。

輸出內容應如下所示：

Name:         ca-cert-expiring-soon-my-org-my-virtualhost
Namespace:    apigee
Labels:       ais-reason=AIS_INGRESS_MTLS_CA_CERT_EXPIREY
Annotations:  <none>
API Version:  apigee.cloud.google.com/v1alpha1
Kind:         ApigeeIssue
Metadata:
  Creation Timestamp:  2023-06-12T17:03:43Z
  Generation:          1
  Owner References:
    API Version:     apigee.cloud.google.com/v1alpha2
    Kind:            ApigeeOrganization
    Name:            my-org
    UID:             7e83a52c-ce00-4bed-98be-55835ada1817
  Resource Version:  3281563
  UID:               adc775c2-376d-4bf9-9860-500b2b2b8273
Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is expiring in 5.409373245s at 2024-03-11 19:04:12 +0000 UTC
  Documentation:  https://cloud.google.com/apigee/docs/hybrid/troubleshooting/AIS_INGRESS_MTLS_CA_CERT_EXPIREY
  Reason:         AIS_INGRESS_MTLS_CA_CERT_EXPIREY
  Severity:       WARNING
Events:           <none>

Spec:
  Details:        CA certificate in secret "my-org-my-virtualhost" for ApigeeRouteConfig "my-org-my-virtualhost" is expiring in 5.409373245s at 2024-03-11 19:04:12 +0000 UTC

Spec.Details 的內容說明 ApigeeRouteConfig 的名稱，該名稱是指即將到期的 Kubernetes 密鑰，其中包含 Ingress mTLS CA 憑證。

解析度

使用 kubectl describe 顯示即將過期的 Ingress mTLS CA 憑證的 ApigeeRouteConfig 名稱：
```
kubectl -n apigee describe apigeeissue ISSUE_NAME
```
其中 ISSUE_NAME 是問題的名稱。例如：ca-cert-expiring-soon-my-org-my-virtualhost。

在本範例中，ApigeeRouteConfig my-org-my-virtualhost 是參照密鑰 my-org-my-virtualhost。
從 ApigeeRouteConfig 判斷 virtualhost 名稱。

ApigeeRouteConfig 的名稱格式為： <Apigee organization>-<virtualhost name>。

在本範例中，my-org 是 Apigee 機構，虛擬主機名稱為 my-virtualhost。

在 overrides.yaml 中找出對應的虛擬主機。

virtualhosts:
...
- name: my-virtualhost
  selector:
    app: apigee-ingressgateway
  caCertPath: ./certs/ca.pem
  sslCertPath: ./certs/vhost.pem
  sslKeyPath: ./certs/vhost.key
...

更新 caCertPath 檔案中列出的 CA 憑證。

將變更套用至虛擬主機：

helm upgrade ENV_GROUP_NAME apigee-virtualhost/ \
  --namespace apigee \
  --set envgroup=ENV_GROUP_NAME \
  -f overrides.yaml

原因：Ingress mTLS CA 憑證已過期

Kubernetes 密鑰中儲存的 Ingress mTLS CA 憑證 (由 ApigeeRouteConfig 參照) 已過期。

診斷

請執行下列指令：

kubectl -n apigee describe apigeeissue ISSUE_NAME

其中 ISSUE_NAME 是問題的名稱。例如：ca-cert-expired-my-org-my-virtualhost。