Esta página foi traduzida pela API Cloud Translation.

Resolução de problemas do Gestor de certificados

Esta página descreve os erros mais comuns que pode encontrar quando usa o Gestor de certificados. Também fornece passos para diagnosticar e resolver esses erros.

Problemas relacionados com certificados TLS (SSL)

Para receber ajuda na resolução de problemas relacionados com certificados TLS (SSL), consulte o artigo Resolva problemas de certificados SSL.

Erros relacionados com certificados do Gestor de certificados

Esta secção explica as informações de resolução de problemas para erros relacionados com o campo authorizationAttemptInfo dos certificados do Gestor de certificados geridos pela Google. Os erros são apresentados na secção managed.authorizationAttemptInfo.troubleshooting apenas quando os seguintes campos têm estes valores:

managed.authorizationAttemptInfo.state = FAILED
managed.authorizationAttemptInfo.failureReason = CONFIG

Para mais informações sobre os erros e como os resolver, consulte a seguinte tabela:

Erro	Descrição
`CNAME_MISMATCH`	Este erro ocorre apenas para autorizações de DNS quando o valor do registo `CNAME` esperado não corresponde ao valor do registo `CNAME` resolvido. Para corrigir este problema, adicione o registo CNAME esperado correto à configuração de DNS. Para mais informações, consulte a secção Adicione o registo CNAME à sua configuração de DNS.
`RESOLVED_TO_NOT_SERVING`	Este erro ocorre quando o domínio contém registos `A` e `AAAA` de DNS que apontam para determinados endereços IP onde o certificado não está anexado a nenhum equilibrador de carga. O erro aplica-se apenas a certificados com autorizações do equilibrador de carga. Pode aprovisionar certificados através da autorização do equilibrador de carga apenas depois de configurar o equilibrador de carga. Para resolver este problema, atualize os registos A e AAAA do DNS do domínio para apontarem para o endereço IP do equilibrador de carga. Os endereços IP resolvidos a partir dos registos DNS `A` e `AAAA` do domínio são armazenados no parâmetro `ips.resolved`, e os endereços IP do equilibrador de carga ao qual este certificado está anexado são armazenados no parâmetro `ips.serving`. Os registos DNS `A` e `AAAA` do domínio têm de apontar apenas para o endereço IP do balanceador de carga. Por exemplo, se um registo `A` de DNS apontar para o endereço IP do equilibrador de carga, mas o registo `AAAA` de DNS apontar para um endereço IP diferente, ocorre o erro `RESOLVED_TO_NOT_SERVING`. Também tem de garantir que os registos de DNS `A` e `AAAA` do domínio são resolvidos corretamente e de forma consistente em todo o mundo. Para mais informações, consulte a secção Falhas de validação de domínios com várias perspetivas.
`NO_RESOLVED_IPS`	Este erro ocorre quando o domínio não contém registos de DNS `A` e `AAAA`. O erro aplica-se apenas a certificados com autorizações do equilibrador de carga. Pode aprovisionar certificados através da autorização do equilibrador de carga apenas depois de configurar o equilibrador de carga. Para resolver este problema, adicione registos DNS `A` e `AAAA` para este domínio e certifique-se de que os registos apontam para o endereço IP do proxy HTTPS de destino ou do serviço de cache na extremidade da CDN de multimédia. Também tem de garantir que os registos de DNS `A` e `AAAA` do domínio são resolvidos corretamente e de forma consistente em todo o mundo. Para mais informações, consulte a secção Falhas de validação de domínios com várias perspetivas.
`RESOLVED_TO_SERVING_ON_ALT_PORTS`	Este erro ocorre quando o domínio que contém registos de DNS `A` e `AAAA` aponta para os endereços IP de um equilibrador de carga onde este certificado está anexado, mas a porta `443` não está aberta nesses endereços IP. O erro aplica-se apenas a certificados com autorizações do equilibrador de carga. Pode aprovisionar certificados através da autorização do equilibrador de carga apenas depois de configurar o equilibrador de carga. Para resolver este problema, certifique-se de que o equilibrador de carga com o certificado anexado está a ouvir na porta `443`. O parâmetro `ips.serving_on_alt_ports` armazena a lista de endereços IP do equilibrador de carga para os quais a porta `443` não está aberta. Também tem de garantir que os registos de DNS `A` e `AAAA` do domínio são resolvidos corretamente e de forma consistente em todo o mundo. Para mais informações, consulte a secção Falhas de validação de domínios com várias perspetivas.
`CERTIFICATE_NOT_ATTACHED`	Este erro ocorre quando o certificado não está anexado a um equilibrador de carga. Para resolver este problema, certifique-se de que o certificado está anexado a um equilibrador de carga. Para mais informações, consulte a secção Implemente o certificado num equilibrador de carga. Este erro também ocorre quando um certificado faz parte de um mapa de certificados anexado a um proxy HTTPS de destino, mas o proxy não está anexado a uma regra de encaminhamento. Para resolver este problema, anexe o proxy HTTPS de destino à regra de encaminhamento adequada. Para mais informações, consulte a Vista geral dos proxies de destino e a Vista geral das regras de encaminhamento. O erro aplica-se apenas a certificados com autorizações do equilibrador de carga. Pode aprovisionar certificados através da autorização do equilibrador de carga apenas depois de configurar o equilibrador de carga.

Erro ao desassociar um mapeamento de certificados de um proxy de destino

Quando desanexa um mapeamento de certificados de um proxy de destino, recebe o seguinte erro:

"There must be at least one certificate configured for a target proxy."

Este erro ocorre quando não existem certificados atribuídos ao proxy de destino, exceto os especificados no mapeamento de certificados que está a tentar desassociar. Para desassociar o mapa, atribua primeiro um ou mais certificados diretamente ao proxy.

Erro ao associar uma entrada do mapa de certificados a um certificado

Quando associa uma entrada do mapa de certificados a um certificado, recebe o seguinte erro:

"certificate can't be used more than 100 times"

Este erro ocorre quando tenta associar uma entrada do mapa de certificados a um certificado que já está associado a 100 entradas do mapa de certificados. Para resolver o problema, faça o seguinte:

Para certificados geridos pela Google, crie outro certificado. Associe as entradas do mapa de certificados ao novo certificado e anexe o novo certificado ao equilibrador de carga.
Para certificados autogeridos, carregue novamente o certificado com um novo nome. Associe as novas entradas do mapa de certificados a este novo certificado e anexe o novo certificado ao equilibrador de carga.

Problemas relacionados com certificados emitidos por uma instância do serviço de AC

Esta secção apresenta os erros mais comuns que pode encontrar quando usa o gestor de certificados para implementar certificados geridos pela Google emitidos pela sua instância do serviço de AC e as respetivas causas possíveis.

Se receber o erro Failed to create Certificate Issuance Config resources, verifique o seguinte:

A duração total. Os valores válidos do tempo de vida útil do certificado variam entre 21 e 30 dias.
A percentagem do período de rotação. As percentagens válidas do período de rotação variam entre 1 e 99 por cento. Tem de definir a percentagem da janela de rotação em relação ao tempo de vida do certificado para que a renovação do certificado ocorra, pelo menos, 7 dias após a emissão do certificado e, pelo menos, 7 dias antes da respetiva expiração.
O algoritmo de chave. Os valores válidos do algoritmo de chave são: RSA_2048 e ECDSA_P256.
O grupo de ACs. O conjunto de ACs não existe ou está configurado incorretamente. O conjunto de ACs tem de conter, pelo menos, uma AC ativada e o autor da chamada tem de ter a autorização privateca.capools.use no projetoGoogle Cloud alvo. Para certificados regionais, o recurso de configuração de emissão de certificados tem de ser criado na mesma localização que o conjunto de ACs.

Se receber um erro Failed to create a managed certificate, verifique o seguinte:

O recurso de configuração de emissão de certificados que especificou quando criou o certificado existe.
O autor da chamada tem a autorização certificatemanager.certissuanceconfigs.use no recurso de configuração de emissão de certificados que especificou quando criou o certificado.
O certificado está na mesma localização que o recurso de configuração de emissão de certificados.

Se receber um erro Failed to renew certificate ou Failed to provision certificate, verifique o seguinte:

A conta de serviço do Gestor de certificados tem a autorização roles/privateca.certificateRequester no conjunto de ACs especificado no recurso de configuração de emissão de certificados usado para este certificado.

Use o seguinte comando para verificar as autorizações no conjunto de ACs de destino:
```
gcloud privateca pools get-iam-policy CA_POOL
--location REGION
```
Substitua o seguinte:
- CA_POOL: o caminho e o nome completos do recurso do grupo de ACs de destino
- REGION: a região Google Cloud alvo
Está em vigor uma política de emissão de certificados. Para mais informações, consulte o artigo Problemas relacionados com restrições da política de emissão.

Problemas relacionados com restrições da política de emissão

Se o Gestor de certificados não suportar as alterações a um certificado feitas pela política de emissão de certificados, o aprovisionamento de certificados falha e o estado do certificado gerido muda para Failed. Para resolver o problema, confirme o seguinte:

As restrições de identidade do certificado permitem a transferência direta do requerente e do nome alternativo do requerente (SAN).
A restrição de duração máxima do certificado é superior à duração do recurso de configuração de emissão de certificados.

Para os problemas anteriores, uma vez que o serviço de AC já emitiu o certificado, a faturação é feita de acordo com os preços do serviço de AC.

Se receber o erro Rejected for issuing certificates from the configured CA Pool, significa que a política de emissão de certificados bloqueou o certificado pedido. Para resolver o erro, verifique o seguinte:

O modo de emissão do certificado permite pedidos de assinatura de certificados (CSRs).
Os tipos de chaves permitidos são compatíveis com o algoritmo de chave do recurso de configuração de emissão de certificados que está a ser usado.

Para os problemas anteriores, uma vez que o serviço de AC não emitiu o certificado, não recebe faturação do serviço de AC.

Problemas relacionados com a correspondência do nome do anfitrião da IAP

Se receber inesperadamente o erro The host name provided does not match the SSL certificate on the server quando usar o Gestor de certificados com o Identity-Aware Proxy (IAP), verifique se está a usar um certificado válido para esse nome de anfitrião. Também lista as entradas do mapa de certificados que configurou no seu mapa de certificados. Todos os nomes de anfitrião ou nomes de anfitrião com carateres universais que pretenda usar com a IAP têm de ter uma entrada dedicada. Se a entrada do mapa de certificados para o seu nome de anfitrião estiver em falta, crie uma entrada do mapa de certificados.

Os pedidos que recorrem à entrada do mapa de certificados principal durante a seleção de certificados são sempre rejeitados pela IAP.

Falhas na validação de domínio de várias perspetivas

Google Cloud renova periodicamente os seus certificados geridos pela Google pedindo-os às autoridades de certificação (ACs). As ACs com as quais Google Cloud trabalha para renovar os seus certificados usam um método de validação de domínio de várias perspetivas conhecido como Multi-Perspective Issuance Corroboration (MPIC). Como parte deste processo, as autoridades de certificação validam o controlo do domínio verificando as definições de DNS do domínio e, no caso da autorização do equilibrador de carga, tentando contactar o servidor através do endereço IP do domínio. Estas validações são realizadas a partir de vários pontos de vista na Internet. Se o processo de validação falhar, os certificados geridos pela Google não são renovados. Consequentemente, o seu equilibrador de carga apresenta um certificado expirado aos clientes, o que faz com que os utilizadores do navegador encontrem erros de certificado e os clientes da API tenham falhas de ligação.

Para evitar falhas de validação de domínio com várias perspetivas devido a registos de DNS configurados incorretamente, tenha em atenção o seguinte:

Os seus registos A de DNS (IPv4) e registos AAAA de DNS (IPv6) para os seus domínios e subdomínios apontam apenas para o endereço IP (ou endereços) associado à regra (ou regras) de encaminhamento do balanceador de carga. A existência de outros endereços no registo pode fazer com que a validação falhe.
A AC, que realiza a validação de registos DNS, consulta registos DNS a partir de várias localizações. Certifique-se de que o seu fornecedor de DNS responde de forma consistente a todos os pedidos de validação de domínio global.
A utilização de GeoDNS (devolver diferentes endereços IP com base na localização do pedido) ou políticas de DNS baseadas na localização pode originar respostas inconsistentes e fazer com que a validação falhe. Se o seu fornecedor de DNS usar o GeoDNS, desative-o ou certifique-se de que todas as regiões devolvem o endereço IP do balanceador de carga.
Se estiver a usar o método de autorização do equilibrador de carga para aprovisionar certificados geridos pela Google, tem de especificar explicitamente os endereços IP do equilibrador de carga na configuração de DNS. As camadas intermédias, como uma CDN, podem causar um comportamento imprevisível. O endereço IP tem de estar diretamente acessível sem redirecionamentos, firewalls ou CDNs no caminho do pedido. Para saber mais, consulte a secção Equilibradores de carga atrás de uma RFC neste documento.
Recomendamos que use um verificador de propagação global de DNS à sua escolha para verificar se todos os registos de DNS relevantes são resolvidos corretamente e de forma consistente em todo o mundo.

Valide as alterações de configuração

Depois de configurar os registos de DNS, pode verificar se estão corretos criando um novo certificado e associando-o ao equilibrador de carga juntamente com o certificado existente. Este passo força uma verificação imediata do aprovisionamento de certificados junto da AC, o que lhe permite validar as alterações de configuração em poucos minutos. Sem esta opção, as renovações automáticas do certificado existente podem demorar dias ou semanas, o que gera incerteza acerca da sua configuração.

Se o estado do certificado se tornar ACTIVE, indica que o certificado foi emitido, confirmando assim que a sua configuração de DNS está correta. Neste ponto, recomendamos que remova o certificado anterior para evitar ter dois certificados separados para o mesmo domínio. Este processo não interrompe o tráfego para o equilibrador de carga.

O novo certificado serve como ferramenta de validação. A sua criação confirma que a validação de domínio com várias perspetivas através do MPIC funciona corretamente para a sua configuração.

Balanceadores de carga atrás de uma RFC

Para balanceadores de carga com a RFC ativada, alguns fornecedores de RFC de terceiros no caminho do pedido podem impedir que os pedidos de validação sejam bem-sucedidos. Isto pode acontecer se o fornecedor de RFC estiver a usar ativamente um proxy para o tráfego HTTP(S).

Nestes casos, recomendamos que use o método de autorização de DNS para aprovisionar certificados geridos pela Google. Esta abordagem não requer que a AC contacte o seu equilibrador de carga.