In diesem Abschnitt finden Sie Informationen zur Fehlerbehebung bei häufigen Problemen, die bei der Konfiguration und Verwendung von mTLS mit Managed Service for Apache Kafka auftreten.
Fehler beim Aktualisieren eines Clusters
Beim Ausführen eines gcloud managed-kafka clusters update- oder gcloud managed-kafka clusters create-Befehls können die folgenden Fehler auftreten.
Ungültige Zuordnungsregel für SSL-Prinzipale
Möglicherweise erhalten Sie eine Fehlermeldung, die so aussieht:
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rule: \"RULE:INVALID-RULE\". The rule must be of the format DEFAULT or
RULE:pattern/replacement/[LU]
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rules: \"RULE:\\nRULE:,DEFAULT\" contains a newline
Die Fehlermeldungen treten auf, weil der für das Flag ssl-principal-mapping-rules angegebene Wert falsch formatiert ist oder ungültige Zeichen enthält.
Korrigieren Sie die Regel, sodass sie dem erforderlichen Format entspricht, und prüfen Sie, ob der Regelstring Zeilenumbruchzeichen enthält. Weitere Informationen zum Flag ssl-principal-mapping-rules finden Sie unter Principal-Zuordnung.
Ungültige CA-Pool-Konfiguration
Möglicherweise erhalten Sie eine Fehlermeldung, die so aussieht:
INVALID_ARGUMENT: The request was invalid:
ca_pool: project/managed-kafka-test/locations/us-central1/test-ca-pool
doesn't match the expected format: projects/{project}/locations/{location}/caPools/{caPool}
INVALID_ARGUMENT: The request was invalid: maximum of 10 CA pools can be specified
INVALID_ARGUMENT: The request was invalid: duplicate CA pool:
projects/managed-kafka-test/locations/us-central1/caPools/test-ca-pool.
All CA pools must be unique
Die Fehlermeldungen treten auf, weil die Liste der CA-Pools, die für das Flag mtls-ca-pools angegeben wurde, ungültig ist. Prüfen Sie die Liste der Zertifizierungsstellenpools und vergewissern Sie sich, dass Folgendes zutrifft:
Alle CA-Pool-Namen verwenden das vollständige Ressourcenformat:
projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID.Die Liste darf keine doppelten Zertifizierungsstellenpools enthalten.
Die Gesamtzahl der Zertifizierungsstellenpools darf 10 nicht überschreiten.
Cluster unterstützt kein mTLS
Möglicherweise erhalten Sie eine Fehlermeldung, die so aussieht:
FAILED_PRECONDITION: Invalid resource state for \"tls_config\": mTLS is not
supported for this cluster because it was created before the mTLS feature
was added. Please create a new cluster to use mTLS.
Die Fehlermeldung wird angezeigt, weil Sie versuchen, mTLS für einen Cluster zu aktivieren, der vor der Verfügbarkeit der Funktion erstellt wurde. Wie die Fehlermeldung besagt, müssen Sie einen neuen Cluster erstellen, um mTLS zu verwenden. Sie können mTLS nicht für einen vorhandenen, nicht berechtigten Cluster aktivieren, der vor dem 24. Juni 2025 erstellt wurde.
Fehler bei Clientverbindungen
Wenn eine Clientanwendung keine Verbindung zum mTLS-Endpunkt des Clusters herstellen kann, prüfen Sie, ob eines der folgenden häufigen Konfigurationsprobleme vorliegt:
Falsche Bootstrap-Adresse: Prüfen Sie, ob Sie die richtige Bootstrap-Adresse verwenden. Sie müssen die mTLS-Bootstrap-Adresse verwenden, die auf
9192und nicht auf9092endet.Ungültiges oder falsches Clientzertifikat: Prüfen Sie, ob das Clientzertifikat gültig ist, nicht abgelaufen ist und von einer Zertifizierungsstelle ausgestellt wurde, die sich in einem der im Cluster konfigurierten Zertifizierungsstellenpools befindet.
Falsche Keystore-Konfiguration des Clients: Prüfen Sie, ob die Konfiguration der Clientanwendung korrekt auf die Keystore- und Truststore-Dateien verweist und ob die Passwörter richtig sind.
Falsche Kafka-ACLs: Prüfen Sie, ob Sie die erforderlichen Kafka-ACLs für den authentifizierten Prinzipal erstellt haben. Der Prinzipal ist der Betreffname des Zertifikats (oder der zugeordnete Alias) mit dem Präfix
User:. Wenn der Name des Subjekts beispielsweisetest-userist, lautet das PrinzipalUser:test-user.
Fehler in Cloud Logging
In den Logs des Clusters, die Sie in Logging aufrufen können, werden möglicherweise die folgenden Fehler angezeigt. Weitere Informationen zum Logging finden Sie unter Logs mit dem Log-Explorer ansehen.
Die Größe des Trust Stores überschreitet das Maximum
Sie sehen einen Logeintrag wie den folgenden:
Trust store size X bytes exceeds the maximum allowed size of 1000 KiB
and cannot be updated.
Die Fehlermeldung wird angezeigt, weil die Gesamtgröße aller CA-Zertifikate in den konfigurierten CA-Pools das Limit von 1.000 KiB überschreitet.
Überprüfen Sie die Zertifikate in Ihren CA-Pools, um die Gesamtgröße zu reduzieren. Dazu gehört möglicherweise das Entfernen großer oder unnötiger Zertifikate oder das Optimieren der CA-Ketten.
Zertifikate konnten nicht aus dem CA-Pool abgerufen werden
Sie sehen einen Logeintrag wie den folgenden:
Managed Service for Apache Kafka failed to fetch certificates from
CA pool <ca-pool-name>. Error: <error>.
Die Fehlermeldung tritt auf, wenn der Dienst-Agent von Managed Service for Apache Kafka die Zertifikate nicht aus dem angegebenen CA-Pool abrufen konnte. Der Fehlerteil der Meldung enthält weitere Details. Ein häufiger Grund für diesen Fehler sind fehlende IAM-Berechtigungen.
Prüfen Sie, ob der Dienst-Agent für Managed Service for Apache Kafka die Rolle CA Pool Reader (roles/privateca.poolReader) für das Projekt hat, das den Zertifizierungsstellenpool enthält. Das ist besonders wichtig bei projektübergreifenden Setups.
Weitere Informationen zu den erforderlichen Berechtigungen zum Konfigurieren von mTLS finden Sie unter Erforderliche Rollen und Berechtigungen.