Nesta página, descrevemos os erros mais comuns que podem ocorrer ao usar o Gerenciador de Certificados. Ele também fornece etapas para diagnosticar e resolver esses erros.
Problemas relacionados a certificados TLS (SSL)
Para receber ajuda com a resolução de problemas relacionados a certificados TLS (SSL), consulte Resolver problemas de certificados SSL.
Resolver problemas em certificados gerenciados pelo Google
Para certificados gerenciados pelo Google, é possível verificar o status do recurso de certificado e o status de autorização de cada domínio associado ao certificado.
Estado do certificado gerenciado
Verifique o estado do certificado gerenciado (managed.state):
gcloud certificate-manager certificates describe CERTIFICATE_NAME \
--location=LOCATION \
--format="get(managed.state)"
Substitua:
CERTIFICATE_NAME: o nome do certificado.LOCATION: o local de destino do Google Cloud . O local padrão églobal.
Os valores do estado do certificado são os seguintes:
| Estado | Explicação |
|---|---|
PROVISIONING |
O Certificate Manager está provisionando ou renovando o certificado. O provisionamento de um certificado gerenciado pelo Google pode levar até 60 minutos
depois que as alterações de configuração do DNS e do balanceador de carga se propagarem
pela Internet. Se o certificado permanecer no estado
|
ACTIVE |
O certificado foi provisionado. Ele estará pronto para veicular tráfego depois que você o associar a um item no mapa de certificados e o anexar a um proxy de destino ou balanceador de carga. |
FAILED |
Várias tentativas de provisionamento ou renovações de certificado falharam, e o Gerenciador de Certificados parou de provisionar o certificado. O Gerenciador de Certificados não tenta novamente o provisionamento nesse estado. Para resolver esse problema, corrija os problemas de configuração de DNS ou do balanceador de carga, exclua o certificado com falha e crie um novo recurso de certificado gerenciado. Para mais detalhes sobre a falha, verifique os campos
|
Estado da tentativa de autorização de domínio
Verifique o estado da tentativa de autorização para os domínios associados a um certificado:
gcloud certificate-manager certificates describe CERTIFICATE_NAME \
--location=LOCATION \
--format="get(managed.authorizationAttemptInfo)"
Substitua:
CERTIFICATE_NAME: o nome do certificado.LOCATION: o local de destino do Google Cloud . O local padrão églobal.
Cada domínio associado ao certificado tem um dos seguintes estados
(managed.authorizationAttemptInfo.state):
| Estado | Explicação |
|---|---|
AUTHORIZING |
O Gerenciador de Certificados está provisionando o certificado para esse domínio e autorizando o domínio. |
AUTHORIZED |
O domínio está autorizado. Se o certificado incluir vários domínios,
ele será provisionado e se tornará ACTIVE somente
depois que todos os domínios atingirem o estado AUTHORIZED.
|
FAILED |
A tentativa de autorizar o domínio falhou. Essa falha impede que o Certificate Manager emita o certificado gerenciado. Para diagnosticar o problema, verifique os campos failureReason, details e troubleshooting do domínio de falha.
|
Motivos da falha na autorização do domínio
Quando o estado da tentativa de autorização de um domínio é FAILED, o campo managed.authorizationAttemptInfo.failureReason indica o motivo da falha. A tabela a seguir descreve os valores possíveis:
| Motivo da falha | Explicação |
|---|---|
CONFIG |
Seu DNS ou balanceador de carga tem um problema de configuração para este domínio. Para mais informações, consulte a tabela detalhada de solução de problemas de erros. |
CAA |
Falha no provisionamento do certificado devido a um problema no registro CAA, como uma restrição explícita de CAA ou uma falha ao verificar os registros CAA do domínio. Para resolver esse problema, verifique se a configuração da zona de DNS permite
que a autoridade de certificação emita certificados para seu domínio. Para
autorizações de DNS
por projeto (incluindo todos os certificados regionais),
o Gerenciador de Certificados usa apenas Serviços de confiança do Google
( |
RATE_LIMITED |
A solicitação foi limitada pela autoridade certificadora ou pelo sistema interno, como os limites semanais do Let's Encrypt para certificados por domínio registrado. Para resolver esse problema, aguarde o limite de taxa expirar. Não solicite certificados duplicados desnecessários em projetos diferentes. |
Erros relacionados aos certificados do Certificate Manager
Nesta seção, apresentamos informações sobre a solução de problemas de erros relacionados ao campo authorizationAttemptInfo dos certificados do Gerenciador de certificados gerenciados pelo Google. Os erros são exibidos na seção
managed.authorizationAttemptInfo.troubleshooting somente quando
os seguintes campos têm estes valores:
managed.authorizationAttemptInfo.state = FAILEDmanaged.authorizationAttemptInfo.failureReason = CONFIG
Para mais informações sobre os erros e como resolvê-los, consulte a tabela a seguir:
| Erro | Descrição |
|---|---|
CNAME_MISMATCH |
Esse erro ocorre apenas para
autorizações de DNS
quando o valor do
registro CNAME esperado não corresponde ao valor do registro
CNAME resolvido.
Para corrigir esse problema, adicione o registro CNAME esperado à configuração de DNS. Para mais informações, consulte a seção Adicionar o registro CNAME à configuração de DNS. |
RESOLVED_TO_NOT_SERVING |
Esse erro ocorre quando o domínio contém registros DNS A e
AAAA que apontam para determinados endereços IP em que o
certificado não está anexado a nenhum balanceador de carga.
O erro se aplica apenas a certificados com autorizações do balanceador de carga. É possível provisionar certificados usando a autorização do balanceador de carga somente depois de configurar o balanceador de carga.
Para resolver esse problema,
atualize os registros DNS A e registro AAAA do domínio para que apontem para o endereço IP do balanceador de carga. Os endereços IP
resolvidos
dos registros DNS
Os registros DNS
Você também precisa garantir que os registros DNS |
NO_RESOLVED_IPS |
Esse erro ocorre quando o domínio não contém registros DNS A
e AAAA.
O erro se aplica apenas a certificados com autorizações do balanceador de carga. É possível provisionar certificados usando a autorização do balanceador de carga somente depois de configurar o balanceador de carga.
Para resolver esse problema, adicione registros DNS
Você também precisa garantir que os registros DNS |
RESOLVED_TO_SERVING_ON_ALT_PORTS |
Esse erro ocorre quando o domínio que contém os registros DNS A e
AAAA aponta para os endereços IP de um balanceador de carga em que
esse certificado está anexado, mas a porta 443
não está aberta nesses endereços IP.
O erro se aplica apenas a certificados com autorizações do balanceador de carga. É possível provisionar certificados usando a autorização do balanceador de carga somente depois de configurar o balanceador de carga.
Para resolver esse problema, verifique se o balanceador de carga com o certificado
anexado está detectando na porta
Você também precisa garantir que os registros DNS |
CERTIFICATE_NOT_ATTACHED |
Esse erro ocorre quando o certificado não está anexado a um balanceador de carga. Para resolver esse problema, verifique se o certificado
está anexado a um balanceador de carga. Para mais informações, consulte a seção
Implantar o certificado em um balanceador de carga.
Esse erro também ocorre quando um certificado faz parte de um mapa de certificados anexado a um proxy HTTPS de destino, mas o proxy não está anexado a uma regra de encaminhamento. Para resolver esse problema, anexe o proxy HTTPS de destino à regra de encaminhamento adequada. Para mais informações, consulte Visão geral dos proxies de destino e Visão geral das regras de encaminhamento. O erro se aplica apenas a certificados com autorizações do balanceador de carga. É possível provisionar certificados usando a autorização do balanceador de carga somente depois de configurar o balanceador de carga. |
Erro ao remover um mapa de certificados de um proxy de destino
Ao desvincular um mapa de certificados de um proxy de destino, você recebe o seguinte erro:
"There must be at least one certificate configured for a target proxy."
Esse erro ocorre quando não há certificados atribuídos ao proxy de destino, exceto os especificados no mapa de certificados que você está tentando remover. Para remover o mapa, primeiro atribua um ou mais certificados diretamente ao proxy.
Erro ao associar um item no mapa de certificados a um certificado
Ao associar um item no mapa de certificados a um certificado, você recebe o seguinte erro:
"certificate can't be used more than 100 times"
Esse erro ocorre quando você tenta associar um item no mapa de certificados a um certificado que já está associado a 100 itens no mapa de certificados. Para resolver o problema, faça o seguinte:
- Para certificados gerenciados pelo Google, crie outro certificado. Associe os novos itens no mapa de certificados a esse novo certificado e anexe o novo certificado ao balanceador de carga.
- Para certificados autogerenciados, faça upload do certificado novamente com um novo nome. Associe os novos itens no mapa de certificados a esse novo certificado e anexe o novo certificado ao balanceador de carga.
Problemas relacionados a certificados emitidos por uma instância do CA Service
Nesta seção, listamos os erros mais comuns que podem ocorrer ao usar o Gerenciador de Certificados para implantar certificados gerenciados pelo Google emitidos pela instância do CA Service e as possíveis causas.
Se você receber o erro Failed to create Certificate Issuance Config resources,
verifique o seguinte:
- O ciclo de vida. Os valores válidos de ciclo de vida do certificado são de 21 a 30 dias.
- A porcentagem da janela de rotação. As porcentagens válidas da janela de rotação são de 1% a 99%. Você precisa definir a porcentagem da janela de rotação em relação ao ciclo de vida do certificado para que a renovação ocorra pelo menos sete dias após a emissão e pelo menos sete dias antes da expiração.
- O algoritmo de chave. Os valores válidos do algoritmo de chave
são:
RSA_2048eECDSA_P256. - O pool de CAs. O pool de CAs não existe ou está configurado incorretamente.
O pool de CAs precisa conter pelo menos uma CA ativada, e o
autor da chamada precisa ter a permissão
privateca.capools.useno projeto Google Cloud de destino. Para certificados regionais, o recurso de configuração de emissão de certificados precisa ser criado no mesmo local que o pool de CAs.
Se você receber um erro Failed to create a managed certificate, verifique o
seguinte:
- O recurso de configuração de emissão de certificado que você especificou ao criar o certificado existe.
- O autor da chamada tem a permissão
certificatemanager.certissuanceconfigs.useno recurso de configuração de emissão de certificado que você especificou ao criar o certificado. - O certificado está no mesmo local que o recurso de configuração de emissão de certificados.
Se você receber um erro Failed to renew certificate ou Failed to provision
certificate, verifique o seguinte:
A conta de serviço do Certificate Manager tem a permissão
roles/privateca.certificateRequesterno pool de CAs especificado no recurso de configuração de emissão de certificado usado para esse certificado.Use o comando a seguir para verificar as permissões no pool de CAs de destino:
gcloud privateca pools get-iam-policy CA_POOL --location REGION
Substitua:
CA_POOL: o caminho completo do recurso e o nome do pool de CAs de destinoREGION: a região de destino do Google Cloud
Uma política de emissão de certificados está em vigor. Para mais informações, consulte Problemas relacionados a restrições da política de emissão.
Problemas relacionados a restrições da política de emissão
Se o Gerenciador de Certificados não for compatível com as alterações feitas em um
certificado pela política de emissão de certificados, o provisionamento do certificado
falhará e o estado do certificado gerenciado mudará para Failed. Para resolver
o problema, confirme o seguinte:
- As restrições de identidade do certificado permitem a passagem do assunto e do nome alternativo do assunto (SAN, na sigla em inglês).
- A restrição de ciclo de vida máximo do certificado é maior que o ciclo de vida do recurso de configuração de emissão de certificado.
- A política de emissão de certificados está configurada para permitir certificados TLS de servidor de entidade final (folha).
Para os problemas anteriores, como o CA Service já emitiu o certificado, você vai receber uma cobrança de acordo com os preços do CA Service.
Se você receber o erro Rejected for issuing certificates from the configured
CA Pool, isso indica que a política de emissão de certificados bloqueou o
certificado solicitado. Para resolver o erro, verifique o seguinte:
- O modo de emissão do certificado permite solicitações de assinatura de certificado (CSRs).
- Os tipos de chave permitidos são compatíveis com o algoritmo de chave do recurso de configuração de emissão de certificado que está sendo usado.
Para os problemas anteriores, como o Serviço de AC não emitiu o certificado, você não vai receber cobranças do Serviço de AC.
Problemas relacionados à correspondência de nome do host do IAP
Se você receber o erro inesperado The host name provided does not match the
SSL certificate on the server ao usar o Gerenciador de Certificados com o
Identity-Aware Proxy (IAP), verifique se está usando um certificado
válido para esse nome de host. Além disso, liste os itens no mapa de certificados
que você configurou no mapa de certificados. Cada nome do host ou nome do host curinga
que você pretende usar com o IAP precisa ter uma entrada
dedicada. Se o item no mapa de certificados do seu nome de host estiver ausente, crie um item no mapa de certificados.
As solicitações que voltam para o item no mapa de certificados principal durante a seleção de certificado são sempre rejeitadas pelo IAP.
Falhas na validação de domínio com várias perspectivas
OGoogle Cloud renova periodicamente os certificados gerenciados pelo Google solicitando-os às autoridades certificadoras (CAs). As CAs com que o Google Cloud trabalha para renovar seus certificados usam um método de validação de domínio multiperspectiva conhecido como Multi-Perspective Issuance Corroboration (MPIC). Como parte desse processo, as autoridades certificadoras verificam o controle do domínio verificando as configurações de DNS do domínio e, no caso da autorização do balanceador de carga, tentando entrar em contato com o servidor por trás do endereço IP do domínio. Essas verificações são realizadas de vários pontos de observação na Internet. Se o processo de validação falhar, os certificados gerenciados pelo Google não serão renovados. Como resultado, o balanceador de carga disponibiliza um certificado expirado para os clientes, fazendo com que os usuários do navegador encontrem erros de certificado e os clientes de API tenham falhas de conexão.
Para evitar falhas na validação de domínio de várias perspectivas para registros DNS configurados incorretamente, observe o seguinte:
- Os registros DNS A (IPv4) e DNS AAAA (IPv6) dos seus domínios e subdomínios apontam apenas para o endereço IP (ou endereços) associado à regra (ou regras) de regra de encaminhamento do balanceador de carga. A existência de qualquer outro endereço no registro pode causar falha na validação.
- A AC, que realiza a validação de registros DNS, consulta registros DNS de vários locais. Verifique se o provedor de DNS responde de maneira consistente a todas as solicitações de validação de domínio global.
- O uso de GeoDNS (que retorna endereços IP diferentes com base no local da solicitação) ou de políticas de DNS baseadas em localização pode gerar respostas inconsistentes e causar falhas na validação. Se o provedor de DNS usar GeoDNS, desative-o ou garanta que todas as regiões retornem o mesmo endereço IP do balanceador de carga.
- Se você estiver usando o método de autorização do balanceador de carga para provisionar certificados gerenciados pelo Google, especifique explicitamente os endereços IP do balanceador de carga na configuração de DNS. Camadas intermediárias, como uma CDN, podem causar um comportamento imprevisível. O endereço IP precisa ser acessível diretamente, sem redirecionamentos, firewalls ou CDNs no caminho da solicitação. Para saber mais, consulte a seção Balanceadores de carga por trás de uma CDN neste documento.
- Recomendamos que você use um verificador de propagação global de DNS da sua escolha para verificar se todos os registros DNS relevantes são resolvidos de maneira correta e consistente em todo o mundo.
Verificar mudanças de configuração
Depois de configurar os registros DNS, verifique se eles estão corretos criando um novo certificado e conectando-o ao balanceador de carga com o certificado atual. Essa etapa força uma verificação imediata de provisionamento de certificado com a CA, permitindo que você verifique as alterações de configuração em minutos. Sem isso, as renovações automáticas do certificado podem levar dias ou semanas, deixando incertezas sobre sua configuração.
Se o status do certificado se tornar ACTIVE, isso indica que
o certificado foi emitido, confirmando que a configuração de DNS
está correta. Neste ponto, recomendamos que você remova o certificado anterior
para evitar ter dois certificados separados para o mesmo domínio. Esse processo
não interrompe o tráfego para o balanceador de carga.
O novo certificado serve como uma ferramenta de validação. A criação dele confirma que a validação de domínio de várias perspectivas usando o MPIC funciona corretamente para sua configuração.
Balanceadores de carga por trás de uma CDN
Para balanceadores de carga que têm a CDN ativada, alguns provedores de CDN de terceiros no caminho da solicitação podem impedir que as solicitações de validação sejam bem-sucedidas. Isso pode acontecer se o provedor de CDN estiver ativamente fazendo proxy do tráfego HTTP(S).
Nesses casos, recomendamos usar o método de autorização de DNS para provisionar certificados gerenciados pelo Google. A última abordagem não exige que a CA entre em contato com o balanceador de carga.