Cette section fournit des conseils de dépannage pour les problèmes courants rencontrés lors de la configuration et de l'utilisation de mTLS avec Managed Service pour Apache Kafka.
Erreurs lors de la mise à jour d'un cluster
Vous pouvez rencontrer les erreurs suivantes lorsque vous exécutez une commande gcloud managed-kafka clusters update ou gcloud managed-kafka clusters create.
Règle de mappage des comptes principaux SSL non valide
Vous recevez un message d'erreur semblable à l'un des messages suivants :
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rule: \"RULE:INVALID-RULE\". The rule must be of the format DEFAULT or
RULE:pattern/replacement/[LU]
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rules: \"RULE:\\nRULE:,DEFAULT\" contains a newline
Les messages d'erreur s'affichent, car la valeur fournie pour l'option ssl-principal-mapping-rules est mal mise en forme ou contient des caractères non valides.
Corrigez la règle pour qu'elle corresponde au format requis et vérifiez que la chaîne de règle ne contient aucun caractère de nouvelle ligne. Pour en savoir plus sur l'option ssl-principal-mapping-rules, consultez Mappage des principaux.
Configuration du pool d'autorités de certification non valide
Vous recevez un message d'erreur semblable à l'un des messages suivants :
INVALID_ARGUMENT: The request was invalid:
ca_pool: project/managed-kafka-test/locations/us-central1/test-ca-pool
doesn't match the expected format: projects/{project}/locations/{location}/caPools/{caPool}
INVALID_ARGUMENT: The request was invalid: maximum of 10 CA pools can be specified
INVALID_ARGUMENT: The request was invalid: duplicate CA pool:
projects/managed-kafka-test/locations/us-central1/caPools/test-ca-pool.
All CA pools must be unique
Les messages d'erreur s'affichent, car la liste des pools d'autorités de certification fournie pour l'indicateur mtls-ca-pools n'est pas valide. Consultez la liste des pools d'autorités de certification et vérifiez les points suivants :
Tous les noms de pools d'autorités de certification utilisent le format de nom complet de ressource :
projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID.La liste ne contient aucun pool d'autorités de certification en double.
Le nombre total de pools d'autorités de certification ne dépasse pas 10.
Le cluster n'est pas compatible avec mTLS
Vous recevez un message d'erreur semblable à celui-ci :
FAILED_PRECONDITION: Invalid resource state for \"tls_config\": mTLS is not
supported for this cluster because it was created before the mTLS feature
was added. Please create a new cluster to use mTLS.
Ce message d'erreur s'affiche, car vous essayez d'activer mTLS sur un cluster créé avant que cette fonctionnalité ne soit disponible. Comme le suggère le message d'erreur, vous devez créer un cluster pour utiliser mTLS. Vous ne pouvez pas activer mTLS sur un cluster existant et non éligible créé avant le 24 juin 2025.
Échecs de connexion client
Si une application cliente ne parvient pas à se connecter au point de terminaison mTLS du cluster, vérifiez les problèmes de configuration courants suivants :
Adresse d'amorçage incorrecte : vérifiez que vous utilisez la bonne adresse d'amorçage. Vous devez utiliser l'adresse d'amorçage mTLS, qui se termine par
9192et non par9092.Certificat client non valide ou incorrect : vérifiez que le certificat client est valide, qu'il n'a pas expiré et qu'il a été émis par une autorité de certification qui réside dans l'un des pools d'autorités de certification configurés sur le cluster.
Configuration incorrecte du keystore client : vérifiez que la configuration de l'application cliente pointe correctement vers ses fichiers keystore et truststore, et que les mots de passe sont corrects.
LCA Kafka incorrectes : vérifiez que vous avez créé les LCA Kafka nécessaires pour le principal authentifié. N'oubliez pas que le compte principal est le nom du sujet du certificat (ou l'alias mappé), préfixé par
User:. Par exemple, si le nom du sujet esttest-user, le principal estUser:test-user.
Erreurs dans Cloud Logging
Les erreurs suivantes peuvent s'afficher dans les journaux du cluster, que vous pouvez consulter dans Logging. Pour en savoir plus sur la journalisation, consultez Afficher les journaux à l'aide de l'explorateur de journaux.
La taille du magasin de confiance dépasse la limite maximale
Une entrée de journal semblable à la suivante s'affiche :
Trust store size X bytes exceeds the maximum allowed size of 1000 KiB
and cannot be updated.
Le message d'erreur s'affiche, car la taille totale de tous les certificats CA dans les pools d'autorités de certification configurés est supérieure à la limite de 1 000 Kio.
Passez en revue les certificats de vos pools d'autorités de certification pour réduire la taille totale. Cela peut impliquer de supprimer les certificats volumineux ou inutiles, ou d'optimiser les chaînes d'autorité de certification.
Échec de la récupération des certificats du pool d'autorités de certification
Une entrée de journal semblable à la suivante s'affiche :
Managed Service for Apache Kafka failed to fetch certificates from
CA pool <ca-pool-name>. Error: <error>.
Le message d'erreur s'affiche lorsque l'agent de service Managed Service pour Apache Kafka n'a pas pu récupérer les certificats du pool d'autorités de certification spécifié. La partie du message concernant l'erreur fournit plus de détails. Une cause fréquente de cet échec est l'absence d'autorisations IAM.
Vérifiez que l'agent de service Managed Service pour Apache Kafka dispose du rôle Lecteur de pool d'autorités de certification (roles/privateca.poolReader) dans le projet contenant le pool d'autorités de certification. Ce point est particulièrement important dans les configurations multi-projets.
Pour en savoir plus sur les autorisations requises pour configurer mTLS, consultez Rôles et autorisations requis.