Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Soluciona problemas del Administrador de certificados

En esta página, se describen los errores más comunes que puedes encontrar cuando usas el Administrador de certificados. También se proporcionan pasos para diagnosticar y resolver esos errores.

Problemas relacionados con los certificados TLS (SSL)

Para obtener ayuda con la resolución de problemas relacionados con los certificados TLS (SSL), consulta Soluciona problemas de certificados SSL.

Soluciona problemas de certificados administrados por Google

En el caso de los certificados administrados por Google, puedes verificar el estado del recurso de certificado y el estado de autorización de cada dominio asociado con el certificado.

Estado del certificado administrado

Verifica el estado del certificado administrado (managed.state):

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION \
    --format="get(managed.state)"

Reemplaza lo siguiente:

CERTIFICATE_NAME: Es el nombre del certificado.
LOCATION: Es la ubicación de segmentación Google Cloud . La ubicación predeterminada es global.

Los valores del estado del certificado son los siguientes:

Estado Explicación

Estado	Explicación
`PROVISIONING`	El Administrador de certificados está aprovisionando o renovando el certificado. El aprovisionamiento de un certificado administrado por Google puede tardar hasta 60 minutos después de que los cambios en la configuración del balanceador de cargas y del DNS se propaguen por Internet. Si el certificado permanece en el estado `PROVISIONING`, consulta los campos `managed.provisioningIssue` o `managed.authorizationAttemptInfo` para obtener más información.
`ACTIVE`	El certificado está aprovisionado. Estará listo para entregar tráfico después de que lo asocies con una entrada de mapa de certificados y lo adjuntes a un proxy de destino o balanceador de cargas.
`FAILED`	Se produjeron errores en varios intentos de aprovisionamiento o renovaciones de certificados, y el Administrador de certificados dejó de aprovisionar el certificado. El Administrador de certificados no vuelve a intentar el aprovisionamiento en este estado. Para resolver este problema, corrige los problemas subyacentes de configuración de DNS o del balanceador de cargas, borra el certificado con errores y crea un recurso de certificado administrado nuevo. Para obtener detalles sobre la falla, consulta los campos `managed.provisioningIssue` o `managed.authorizationAttemptInfo`.

PROVISIONING

El Administrador de certificados está aprovisionando o renovando el certificado.

El aprovisionamiento de un certificado administrado por Google puede tardar hasta 60 minutos después de que los cambios en la configuración del balanceador de cargas y del DNS se propaguen por Internet. Si el certificado permanece en el estado PROVISIONING, consulta los campos managed.provisioningIssue o managed.authorizationAttemptInfo para obtener más información.

ACTIVE El certificado está aprovisionado. Estará listo para entregar tráfico después de que lo asocies con una entrada de mapa de certificados y lo adjuntes a un proxy de destino o balanceador de cargas.

FAILED

Se produjeron errores en varios intentos de aprovisionamiento o renovaciones de certificados, y el Administrador de certificados dejó de aprovisionar el certificado. El Administrador de certificados no vuelve a intentar el aprovisionamiento en este estado.

Para resolver este problema, corrige los problemas subyacentes de configuración de DNS o del balanceador de cargas, borra el certificado con errores y crea un recurso de certificado administrado nuevo.

Para obtener detalles sobre la falla, consulta los campos managed.provisioningIssue o managed.authorizationAttemptInfo.

Estado del intento de autorización del dominio

Verifica el estado del intento de autorización para los dominios asociados con un certificado:

gcloud certificate-manager certificates describe CERTIFICATE_NAME \
    --location=LOCATION \
    --format="get(managed.authorizationAttemptInfo)"

Reemplaza lo siguiente:

CERTIFICATE_NAME: Es el nombre del certificado.
LOCATION: Es la ubicación de segmentación Google Cloud . La ubicación predeterminada es global.

Cada dominio asociado con el certificado tiene uno de los siguientes estados (managed.authorizationAttemptInfo.state):

Estado	Explicación
`AUTHORIZING`	El Administrador de certificados aprovisiona el certificado para este dominio y lo autoriza.
`AUTHORIZED`	El dominio está autorizado. Si el certificado incluye varios dominios, se aprovisiona y se convierte en `ACTIVE` solo después de que todos sus dominios alcancen el estado `AUTHORIZED`.
`FAILED`	No se pudo autorizar el dominio. Esta falla impide que el Administrador de certificados emita el certificado administrado. Para diagnosticar el problema, verifica los campos `failureReason`, `details` y `troubleshooting` del dominio con fallas.

Motivos por los que falló la autorización del dominio

Cuando el estado del intento de autorización de un dominio es FAILED, el campo managed.authorizationAttemptInfo.failureReason indica el motivo de la falla. En la siguiente tabla, se describen los valores posibles:

Motivo de la falla Explicación

Motivo de la falla	Explicación
`CONFIG`	Tu DNS o balanceador de cargas tiene un problema de configuración para este dominio. Para obtener más información, consulta la tabla detallada de errores de solución de problemas.
`CAA`	Se produjo un error en el aprovisionamiento del certificado debido a un problema con el registro de CAA, como una restricción explícita de CAA o un error en la verificación de los registros de CAA para el dominio. Para resolver este problema, asegúrate de que la configuración de tu zona del DNS permita que la autoridad certificadora emita certificados para tu dominio. Para las autorizaciones de DNS por proyecto (incluidos todos los certificados regionales), el Administrador de certificados solo usa Google Trust Services (`pki.goog`), por lo que debes asegurarte de que tu registro de CAA permita `pki.goog`. Para otras autorizaciones de DNS y autorizaciones de balanceador de cargas, el Administrador de certificados puede usar Google Trust Services (`pki.goog`) y Let's Encrypt (`letsencrypt.org`). Para obtener más información, consulta Especifica las AC que pueden emitir tu certificado administrado por Google.
`RATE_LIMITED`	La autoridad certificadora o el sistema interno limitaron la solicitud, como los límites semanales de Let's Encrypt para los certificados por dominio registrado. Para resolver este problema, espera a que venza el límite de frecuencia. No solicites certificados duplicados innecesarios en diferentes proyectos.

CONFIG

Tu DNS o balanceador de cargas tiene un problema de configuración para este dominio.

Para obtener más información, consulta la tabla detallada de errores de solución de problemas.

CAA

Se produjo un error en el aprovisionamiento del certificado debido a un problema con el registro de CAA, como una restricción explícita de CAA o un error en la verificación de los registros de CAA para el dominio.

Para resolver este problema, asegúrate de que la configuración de tu zona del DNS permita que la autoridad certificadora emita certificados para tu dominio. Para las autorizaciones de DNS por proyecto (incluidos todos los certificados regionales), el Administrador de certificados solo usa Google Trust Services (pki.goog), por lo que debes asegurarte de que tu registro de CAA permita pki.goog. Para otras autorizaciones de DNS y autorizaciones de balanceador de cargas, el Administrador de certificados puede usar Google Trust Services (pki.goog) y Let's Encrypt (letsencrypt.org). Para obtener más información, consulta Especifica las AC que pueden emitir tu certificado administrado por Google.

RATE_LIMITED

La autoridad certificadora o el sistema interno limitaron la solicitud, como los límites semanales de Let's Encrypt para los certificados por dominio registrado.

Para resolver este problema, espera a que venza el límite de frecuencia. No solicites certificados duplicados innecesarios en diferentes proyectos.

Errores relacionados con los certificados del Administrador de certificados

En esta sección, se proporciona información para solucionar problemas relacionados con el campo authorizationAttemptInfo de los certificados del Administrador de certificados administrados por Google. Los errores se muestran en la sección managed.authorizationAttemptInfo.troubleshooting solo cuando los siguientes campos tienen estos valores:

managed.authorizationAttemptInfo.state = FAILED
managed.authorizationAttemptInfo.failureReason = CONFIG

Para obtener más información sobre los errores y cómo resolverlos, consulta la siguiente tabla:

Error	Descripción
`CNAME_MISMATCH`	Este error solo se produce en las autorizaciones de DNS cuando el valor del registro `CNAME` esperado no coincide con el valor del registro `CNAME` resuelto. Para corregir este problema, agrega el registro CNAME esperado a tu configuración de DNS. Para obtener más información, consulta la sección Agrega el registro CNAME a tu configuración de DNS.
`RESOLVED_TO_NOT_SERVING`	Este error se produce cuando el dominio contiene registros DNS `A` y `AAAA` que apuntan a ciertas direcciones IP en las que el certificado no está adjunto a ningún balanceador de cargas. El error solo se aplica a los certificados con autorizaciones de balanceador de cargas. Puedes aprovisionar certificados con la autorización del balanceador de cargas solo después de configurar el balanceador de cargas. Para resolver este problema, actualiza los registros A y AAAA de DNS del dominio para que apunten a la dirección IP del balanceador de cargas. Las direcciones IP que se resuelven a partir de los registros DNS `A` y `AAAA` del dominio se almacenan en el parámetro `ips.resolved`, y las direcciones IP del balanceador de cargas al que se adjunta este certificado se almacenan en el parámetro `ips.serving`. Los registros DNS `A` y `AAAA` del dominio deben apuntar solo a la dirección IP del balanceador de cargas. Por ejemplo, si un registro DNS `A` apunta a la dirección IP del balanceador de cargas, pero el registro DNS `AAAA` apunta a una dirección IP diferente, se produce el error `RESOLVED_TO_NOT_SERVING`. También debes asegurarte de que los registros DNS `A` y `AAAA` del dominio se resuelvan de forma correcta y coherente en todo el mundo. Para obtener más información, consulta la sección Fallas de validación de dominio con varias perspectivas.
`NO_RESOLVED_IPS`	Este error se produce cuando el dominio no contiene ningún registro DNS `A` ni `AAAA`. El error solo se aplica a los certificados con autorizaciones de balanceador de cargas. Puedes aprovisionar certificados con la autorización del balanceador de cargas solo después de configurar el balanceador de cargas. Para resolver este problema, agrega registros DNS `A` y `AAAA` para este dominio y asegúrate de que los registros apunten a la dirección IP del proxy HTTPS de destino o del servicio de almacenamiento en caché perimetral de Media CDN. También debes asegurarte de que los registros DNS `A` y `AAAA` del dominio se resuelvan de forma correcta y coherente en todo el mundo. Para obtener más información, consulta la sección Fallas de validación de dominio con varias perspectivas.
`RESOLVED_TO_SERVING_ON_ALT_PORTS`	Este error se produce cuando el dominio que contiene los registros `A` y `AAAA` de DNS apunta a las direcciones IP de un balanceador de cargas al que se adjunta este certificado, pero el puerto `443` no está abierto en esas direcciones IP. El error solo se aplica a los certificados con autorizaciones de balanceador de cargas. Puedes aprovisionar certificados con la autorización del balanceador de cargas solo después de configurar el balanceador de cargas. Para resolver este problema, asegúrate de que el balanceador de cargas con el certificado adjunto esté escuchando en el puerto `443`. El parámetro `ips.serving_on_alt_ports` almacena la lista de direcciones IP del balanceador de cargas para las que el puerto `443` no está abierto. También debes asegurarte de que los registros DNS `A` y `AAAA` del dominio se resuelvan de forma correcta y coherente en todo el mundo. Para obtener más información, consulta la sección Fallas de validación de dominio con varias perspectivas.
`CERTIFICATE_NOT_ATTACHED`	Este error se produce cuando el certificado no está conectado a un balanceador de cargas. Para resolver este problema, asegúrate de que el certificado esté adjunto a un balanceador de cargas. Para obtener más información, consulta la sección Implementa el certificado en un balanceador de cargas. Este error también se produce cuando un certificado forma parte de un mapa de certificados que se adjunta a un proxy HTTPS de destino, pero el proxy no se adjunta a una regla de reenvío. Para resolver este problema, adjunta el proxy HTTPS de destino a la regla de reenvío adecuada. Para obtener más información, consulta Descripción general de los proxies de destino y Descripción general de las reglas de reenvío. El error solo se aplica a los certificados con autorizaciones de balanceador de cargas. Puedes aprovisionar certificados con la autorización del balanceador de cargas solo después de configurar el balanceador de cargas.

Error cuando se desconecta un mapa de certificados de un proxy de destino

Cuando desconectas un mapa de certificados de un proxy de destino, recibes el siguiente error:

"There must be at least one certificate configured for a target proxy."

Este error se produce cuando no hay certificados asignados al proxy de destino, además de los especificados en el mapa de certificados que intentas desconectar. Para desconectar el mapa, primero asigna uno o más certificados directamente al proxy.

Error cuando se asocia una entrada de mapa de certificados con un certificado

Cuando asocias una entrada de mapa de certificados con un certificado, recibes el siguiente error:

"certificate can't be used more than 100 times"

Este error se produce cuando intentas asociar una entrada de mapa de certificados con un certificado que ya está asociado con 100 entradas de mapa de certificados. Para solucionar el problema, haz lo siguiente:

En el caso de los certificados administrados por Google, crea otro certificado. Asocia las nuevas entradas del mapa de certificados con este certificado nuevo y adjunta el certificado nuevo al balanceador de cargas.
En el caso de los certificados autoadministrados, vuelve a subir el certificado con un nombre nuevo. Asocia las entradas nuevas del mapa de certificados con este certificado nuevo y adjunta el certificado nuevo al balanceador de cargas.

Problemas relacionados con los certificados emitidos por una instancia de Certificate Authority Service

En esta sección, se enumeran los errores más comunes que puedes encontrar cuando usas el Administrador de certificados para implementar certificados administrados por Google emitidos por tu instancia del Servicio de CA y sus posibles causas.

Si recibes el error Failed to create Certificate Issuance Config resources, verifica lo siguiente:

El ciclo de vida. Los valores válidos de la vida útil del certificado son de 21 a 30 días.
El porcentaje de la ventana de rotación. Los porcentajes válidos de la ventana de rotación son del 1% al 99%. Debes configurar el porcentaje del período de rotación en relación con la vida útil del certificado para que la renovación del certificado se realice al menos 7 días después de que se haya emitido y al menos 7 días antes de que venza.
El algoritmo de clave. Los valores válidos del algoritmo de clave son RSA_2048 y ECDSA_P256.
El grupo de AC. El grupo de AC no existe o está mal configurado. El grupo de AC debe contener al menos una AC habilitada y el emisor debe tener el permiso privateca.capools.use en el proyecto Google Cloud de destino. En el caso de los certificados regionales, el recurso de configuración de emisión de certificados debe crearse en la misma ubicación que el grupo de AC.

Si recibes un error Failed to create a managed certificate, verifica lo siguiente:

Existe el recurso de configuración de emisión de certificados que especificaste cuando creaste el certificado.
El emisor tiene el permiso certificatemanager.certissuanceconfigs.use en el recurso de configuración de emisión de certificados que especificaste cuando creaste el certificado.
El certificado se encuentra en la misma ubicación que el recurso de configuración de emisión de certificados.

Si recibes un error Failed to renew certificate o Failed to provision certificate, verifica lo siguiente:

La cuenta de servicio del Administrador de certificados tiene el permiso roles/privateca.certificateRequester en el grupo de AC especificado en el recurso de configuración de emisión de certificados que se usa para este certificado.

Usa el siguiente comando para verificar los permisos en el grupo de AC de destino:
```
gcloud privateca pools get-iam-policy CA_POOL
--location REGION
```
Reemplaza lo siguiente:
- CA_POOL: Es la ruta de acceso completa del recurso y el nombre del grupo de AC de destino.
- REGION: la región de destino de Google Cloud
Hay una política de emisión de certificados vigente. Para obtener más información, consulta Problemas relacionados con las restricciones de la política de emisión.

Problemas relacionados con las restricciones de la política de emisión

Si el Administrador de certificados no admite los cambios en un certificado que realiza la política de emisión de certificados, el aprovisionamiento de certificados falla y el estado del certificado administrado cambia a Failed. Para resolver el problema, confirma lo siguiente:

Las restricciones de identidad del certificado permiten el paso del sujeto y del nombre alternativo del sujeto (SAN).
La restricción de vida útil máxima del certificado es mayor que la vida útil del recurso de configuración de emisión de certificados.
La política de emisión de certificados está configurada para permitir certificados TLS de servidor de entidad final (hoja).

En el caso de los problemas anteriores, como el Servicio de CA ya emitió el certificado, se te facturará según los precios del Servicio de CA.

Si recibes el error Rejected for issuing certificates from the configured CA Pool, significa que la política de emisión de certificados bloqueó el certificado solicitado. Para resolver el error, verifica lo siguiente:

El modo de emisión del certificado permite solicitudes de firma de certificados (CSR).
Los tipos de claves permitidos son compatibles con el algoritmo de clave del recurso de configuración de emisión de certificados que se usa.

En el caso de los problemas anteriores, como el Servicio de CA no emitió el certificado, este no te cobrará.

Problemas relacionados con la coincidencia de nombres de host de IAP

Si recibes el error The host name provided does not match the SSL certificate on the server de forma inesperada cuando usas el Administrador de certificados con Identity-Aware Proxy (IAP), verifica que estés usando un certificado que sea válido para ese nombre de host. También puedes enumerar las entradas del mapa de certificados que configuraste en tu mapa de certificados. Cada nombre de host o nombre de host comodín que pretendas usar con IAP debe tener una entrada dedicada. Si falta la entrada del mapa de certificados para tu nombre de host, crea una entrada de mapa de certificados.

IAP siempre rechaza las solicitudes que recurren a la entrada principal del mapa de certificados durante la selección de certificados.

Fallas en la validación de dominios con múltiples perspectivas

Google Cloud renueva de forma periódica tus certificados administrados por Google solicitándolos a las autoridades certificadoras (AC). Las AC con las que Google Cloud trabaja para renovar tus certificados usan un método de validación de dominio desde múltiples perspectivas conocido como Corroboración de emisiones desde múltiples perspectivas (MPIC). Como parte de este proceso, las autoridades certificadoras verifican el control del dominio comprobando su configuración de DNS y, en el caso de la autorización del balanceador de cargas, intentando comunicarse con el servidor detrás de la dirección IP del dominio. Estas verificaciones se realizan desde varios puntos de observación en Internet. Si el proceso de validación falla, los certificados administrados por Google no se renuevan. Como resultado, tu balanceador de cargas entrega un certificado vencido a los clientes, lo que hace que los usuarios del navegador encuentren errores de certificado y que los clientes de API experimenten fallas de conexión.

Para evitar fallas en la validación de dominios con varias perspectivas debido a registros DNS mal configurados, ten en cuenta lo siguiente:

Tus registros A de DNS (IPv4) y AAAA de DNS (IPv6) para tus dominios y cualquier subdominio apuntan solo a la dirección IP (o direcciones) asociada con la regla (o reglas) de reenvío del balanceador de cargas. La existencia de cualquier otra dirección en el registro puede hacer que falle la validación.
La AC, que realiza la validación de los registros DNS, consulta los registros DNS desde varias ubicaciones. Asegúrate de que tu proveedor de DNS responda de manera coherente a todas las solicitudes de validación de dominio globales.
El uso de GeoDNS (que devuelve diferentes direcciones IP según la ubicación de la solicitud) o de políticas de DNS basadas en la ubicación puede generar respuestas incoherentes y provocar que la validación falle. Si tu proveedor de DNS usa GeoDNS, inhabilítalo o asegúrate de que todas las regiones devuelvan la misma dirección IP del balanceador de cargas.
Si usas el método de autorización del balanceador de cargas para aprovisionar certificados administrados por Google, debes especificar de forma explícita las direcciones IP de tu balanceador de cargas en tu configuración de DNS. Las capas intermedias, como una CDN, pueden causar un comportamiento impredecible. Se debe poder acceder directamente a la dirección IP sin redireccionamientos, firewalls ni CDN en la ruta de solicitud. Para obtener más información, consulta la sección Balanceadores de cargas detrás de una CDN en este documento.
Te recomendamos que uses un verificador de propagación global de DNS de tu elección para comprobar que todos los registros DNS pertinentes se resuelvan de forma correcta y coherente en todo el mundo.

Verifica los cambios de configuración

Después de configurar tus registros DNS, puedes verificar que sean correctos creando un certificado nuevo y conectándolo a tu balanceador de cargas junto con el certificado existente. Este paso fuerza una verificación inmediata del aprovisionamiento de certificados con la AC, lo que te permite verificar los cambios de configuración en cuestión de minutos. Sin esto, las renovaciones automáticas del certificado existente pueden tardar días o semanas, lo que genera incertidumbre sobre tu configuración.

Si el estado del certificado cambia a ACTIVE, significa que se emitió el certificado, lo que confirma que tu configuración de DNS es correcta. En este punto, te recomendamos que quites el certificado anterior para evitar tener dos certificados independientes para el mismo dominio. Este proceso no interrumpe el tráfico al balanceador de cargas.

El certificado nuevo sirve como herramienta de validación: su creación confirma que la validación de dominios desde varias perspectivas con MPIC funciona correctamente para tu configuración.

Balanceadores de cargas detrás de una CDN

En el caso de los balanceadores de cargas que tienen CDN habilitada, es posible que algunos proveedores de CDN de terceros en la ruta de solicitud impidan que las solicitudes de validación se realicen con correctamente. Esto puede ocurrir si el proveedor de CDN programa el tráfico HTTP(S) de forma activa con proxy.

En esos casos, recomendamos usar el método de autorización de DNS para aprovisionar certificados administrados por Google. Este último enfoque no requiere que la AC se comunique con tu balanceador de cargas.