Questa sezione fornisce indicazioni per la risoluzione dei problemi comuni riscontrati durante la configurazione e l'utilizzo di mTLS con Managed Service per Apache Kafka.
Errori durante l'aggiornamento di un cluster
Quando esegui un comando
gcloud managed-kafka clusters update o gcloud managed-kafka clusters create, potresti riscontrare i seguenti errori.
Regola di mappatura delle entità SSL non valida
Ricevi un messaggio di errore simile a uno dei seguenti:
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rule: \"RULE:INVALID-RULE\". The rule must be of the format DEFAULT or
RULE:pattern/replacement/[LU]
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rules: \"RULE:\\nRULE:,DEFAULT\" contains a newline
I messaggi di errore si verificano perché il valore fornito per il flag ssl-principal-mapping-rules non è formattato correttamente o contiene caratteri non validi.
Correggi la regola in modo che corrisponda al formato richiesto e verifica che la stringa della regola
non contenga caratteri di nuova riga. Per saperne di più sul flag
ssl-principal-mapping-rules, vedi Mappatura delle entità.
Configurazione del pool CA non valida
Ricevi un messaggio di errore simile a uno dei seguenti:
INVALID_ARGUMENT: The request was invalid:
ca_pool: project/managed-kafka-test/locations/us-central1/test-ca-pool
doesn't match the expected format: projects/{project}/locations/{location}/caPools/{caPool}
INVALID_ARGUMENT: The request was invalid: maximum of 10 CA pools can be specified
INVALID_ARGUMENT: The request was invalid: duplicate CA pool:
projects/managed-kafka-test/locations/us-central1/caPools/test-ca-pool.
All CA pools must be unique
I messaggi di errore si verificano perché l'elenco dei pool CA fornito per il flag
mtls-ca-pools non è valido. Controlla l'elenco dei pool CA e verifica quanto segue:
Tutti i nomi dei pool CA utilizzano il formato completo della risorsa:
projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID.L'elenco non contiene pool CA duplicati.
Il numero totale di pool CA non supera 10.
Il cluster non supporta mTLS
Ricevi un messaggio di errore simile al seguente:
FAILED_PRECONDITION: Invalid resource state for \"tls_config\": mTLS is not
supported for this cluster because it was created before the mTLS feature
was added. Please create a new cluster to use mTLS.
Il messaggio di errore si verifica perché stai tentando di abilitare mTLS su un cluster creato prima che la funzionalità fosse disponibile. Come suggerisce il messaggio di errore, devi creare un nuovo cluster per utilizzare mTLS. Non puoi abilitare mTLS reciproca su un cluster esistente non idoneo creato prima del 24 giugno 2025.
Errori di connessione client
Se un'applicazione client non riesce a connettersi all'endpoint mTLS del cluster, controlla i seguenti problemi di configurazione comuni:
Indirizzo bootstrap errato: verifica di utilizzare l'indirizzo bootstrap corretto. Devi utilizzare l'indirizzo di bootstrap mTLS, che termina con
9192e non con9092.Certificato client non valido o errato: verifica che il certificato client sia valido, non sia scaduto e sia stato emesso da una CA che risiede in uno dei pool CA configurati sul cluster.
Configurazione errata del keystore client: verifica che la configurazione dell'applicazione client punti correttamente ai file keystore e truststore e che le password siano corrette.
ACL Kafka errate: verifica di aver creato gli ACL Kafka necessari per l'entità autenticata. Ricorda che il soggetto è il nome del soggetto del certificato (o l'alias mappato), con il prefisso
User:. Ad esempio, se il nome del soggetto ètest-user, l'entità èUser:test-user.
Errori in Cloud Logging
Nei log del cluster, che puoi visualizzare in Logging, potrebbero essere visualizzati i seguenti errori. Per saperne di più sul logging, vedi Visualizza i log utilizzando Esplora log.
Le dimensioni dell'archivio di attendibilità superano il limite massimo
Viene visualizzata una voce di log simile alla seguente:
Trust store size X bytes exceeds the maximum allowed size of 1000 KiB
and cannot be updated.
Il messaggio di errore si verifica perché la dimensione totale di tutti i certificati CA nei pool CA configurati è superiore al limite di 1000 KiB.
Esamina i certificati nei pool CA per ridurre le dimensioni totali. Ciò potrebbe comportare la rimozione di certificati di grandi dimensioni o non necessari o l'ottimizzazione delle catene CA.
Impossibile recuperare i certificati dal pool di CA
Viene visualizzata una voce di log simile alla seguente:
Managed Service for Apache Kafka failed to fetch certificates from
CA pool <ca-pool-name>. Error: <error>.
Il messaggio di errore si verifica quando l'agente di servizio Managed Service per Apache Kafka non è riuscito a recuperare i certificati dal pool CA specificato. La parte relativa all'errore del messaggio fornisce maggiori dettagli. Un motivo comune di questo errore è la mancanza di autorizzazioni IAM.
Verifica che l'agente di servizio Managed Service per Apache Kafka disponga del ruolo
CA Pool Reader (roles/privateca.poolReader) nel progetto che
contiene il pool di CA. Ciò è particolarmente importante nelle configurazioni tra progetti.
Per saperne di più sulle autorizzazioni richieste per configurare mTLS, consulta
Ruoli e autorizzazioni richiesti.