Bagian ini memberikan panduan pemecahan masalah untuk masalah umum yang terjadi saat mengonfigurasi dan menggunakan mTLS dengan Managed Service untuk Apache Kafka.
Error saat mengupdate cluster
Anda mungkin mengalami error berikut saat menjalankan perintah
gcloud managed-kafka clusters update atau gcloud managed-kafka clusters create.
Aturan pemetaan prinsipal SSL tidak valid
Anda akan menerima pesan error yang mirip dengan salah satu pesan berikut:
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rule: \"RULE:INVALID-RULE\". The rule must be of the format DEFAULT or
RULE:pattern/replacement/[LU]
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rules: \"RULE:\\nRULE:,DEFAULT\" contains a newline
Pesan error terjadi karena nilai yang diberikan untuk tanda
ssl-principal-mapping-rules tidak diformat dengan benar atau berisi
karakter yang tidak valid.
Perbaiki aturan agar sesuai dengan format yang diperlukan dan verifikasi bahwa string aturan
tidak berisi karakter baris baru. Untuk mengetahui informasi selengkapnya tentang
flag ssl-principal-mapping-rules, lihat Pemetaan prinsipal.
Konfigurasi kumpulan CA tidak valid
Anda akan menerima pesan error yang mirip dengan salah satu pesan berikut:
INVALID_ARGUMENT: The request was invalid:
ca_pool: project/managed-kafka-test/locations/us-central1/test-ca-pool
doesn't match the expected format: projects/{project}/locations/{location}/caPools/{caPool}
INVALID_ARGUMENT: The request was invalid: maximum of 10 CA pools can be specified
INVALID_ARGUMENT: The request was invalid: duplicate CA pool:
projects/managed-kafka-test/locations/us-central1/caPools/test-ca-pool.
All CA pools must be unique
Pesan error terjadi karena daftar kumpulan CA yang diberikan untuk tanda
mtls-ca-pools tidak valid. Periksa daftar kumpulan CA dan verifikasi
berikut:
Semua nama kumpulan CA menggunakan format resource lengkap:
projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID.Tidak ada kumpulan CA duplikat dalam daftar.
Jumlah total kumpulan CA tidak melebihi 10.
Cluster tidak mendukung mTLS
Anda akan menerima pesan error yang mirip dengan berikut ini:
FAILED_PRECONDITION: Invalid resource state for \"tls_config\": mTLS is not
supported for this cluster because it was created before the mTLS feature
was added. Please create a new cluster to use mTLS.
Pesan error terjadi karena Anda mencoba mengaktifkan mTLS di cluster yang dibuat sebelum fitur tersedia. Seperti yang ditunjukkan oleh pesan error, Anda harus membuat cluster baru untuk menggunakan mTLS. Anda tidak dapat mengaktifkan mTLS di cluster yang ada dan tidak memenuhi syarat yang dibuat sebelum 24 Juni 2025.
Kegagalan koneksi klien
Jika aplikasi klien tidak dapat terhubung ke endpoint mTLS cluster, periksa masalah konfigurasi umum berikut:
Alamat bootstrap salah: pastikan Anda menggunakan alamat bootstrap yang benar. Anda harus menggunakan alamat bootstrap mTLS, yang berakhiran
9192, bukan9092.Sertifikat klien tidak valid atau salah: pastikan sertifikat klien valid, belum habis masa berlakunya, dan diterbitkan dari CA yang berada di salah satu kumpulan CA yang dikonfigurasi di cluster.
Konfigurasi keystore klien yang salah: pastikan konfigurasi aplikasi klien mengarah dengan benar ke file keystore dan truststore-nya serta sandinya sudah benar.
ACL Kafka yang salah: pastikan Anda telah membuat ACL Kafka yang diperlukan untuk prinsipal yang diautentikasi. Ingat bahwa prinsipal adalah nama subjek sertifikat (atau alias yang dipetakan), yang diawali dengan
User:. Misalnya, jika nama subjek adalahtest-user, akun utamanya adalahUser:test-user.
Error di Cloud Logging
Error berikut mungkin muncul di log cluster, yang dapat Anda lihat di Logging. Untuk mengetahui informasi selengkapnya tentang Logging, lihat Melihat log menggunakan Logs Explorer.
Ukuran trust store melebihi maksimum
Anda akan melihat entri log yang mirip dengan berikut ini:
Trust store size X bytes exceeds the maximum allowed size of 1000 KiB
and cannot be updated.
Pesan error terjadi karena total ukuran semua sertifikat CA di kumpulan CA yang dikonfigurasi lebih besar dari batas 1000 KiB.
Tinjau sertifikat di kumpulan CA Anda untuk mengurangi ukuran total. Hal ini mungkin melibatkan penghapusan sertifikat yang besar atau tidak perlu atau mengoptimalkan rantai CA.
Gagal mengambil sertifikat dari kumpulan CA
Anda akan melihat entri log yang mirip dengan berikut ini:
Managed Service for Apache Kafka failed to fetch certificates from
CA pool <ca-pool-name>. Error: <error>.
Pesan error terjadi karena agen layanan Managed Service untuk Apache Kafka tidak dapat mengambil sertifikat dari kumpulan CA yang ditentukan. Bagian error dari pesan memberikan detail selengkapnya. Alasan umum kegagalan ini adalah izin IAM yang tidak ada.
Pastikan agen layanan Managed Service untuk Apache Kafka memiliki peran
CA Pool Reader (roles/privateca.poolReader) di project yang
berisi kumpulan CA. Hal ini terutama penting dalam penyiapan lintas project.
Untuk mengetahui informasi selengkapnya tentang izin yang diperlukan untuk mengonfigurasi mTLS, lihat
Peran dan izin yang diperlukan.