Esta seção fornece orientações para solucionar problemas comuns encontrados ao configurar e usar o mTLS com o Serviço gerenciado para Apache Kafka.
Erros ao atualizar um cluster
Você pode encontrar os seguintes erros ao executar um comando
gcloud managed-kafka clusters update ou gcloud managed-kafka clusters create.
Regra de mapeamento principal de SSL inválida
Você recebe uma mensagem de erro semelhante a uma das seguintes opções:
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rule: \"RULE:INVALID-RULE\". The rule must be of the format DEFAULT or
RULE:pattern/replacement/[LU]
INVALID_ARGUMENT: The request was invalid: invalid SSL principal mapping
rules: \"RULE:\\nRULE:,DEFAULT\" contains a newline
As mensagens de erro ocorrem porque o valor fornecido para a flag
ssl-principal-mapping-rules está formatado incorretamente ou contém
caracteres inválidos.
Corrija a regra para corresponder ao formato necessário e verifique se a string da regra não contém caracteres de nova linha. Para mais informações sobre a flag
ssl-principal-mapping-rules, consulte Mapeamento principal.
Configuração de pool de CA inválida
Você recebe uma mensagem de erro semelhante a uma das seguintes opções:
INVALID_ARGUMENT: The request was invalid:
ca_pool: project/managed-kafka-test/locations/us-central1/test-ca-pool
doesn't match the expected format: projects/{project}/locations/{location}/caPools/{caPool}
INVALID_ARGUMENT: The request was invalid: maximum of 10 CA pools can be specified
INVALID_ARGUMENT: The request was invalid: duplicate CA pool:
projects/managed-kafka-test/locations/us-central1/caPools/test-ca-pool.
All CA pools must be unique
As mensagens de erro ocorrem porque a lista de pools de CA fornecida para a flag
mtls-ca-pools é inválida. Confira a lista de pools de ACs e verifique o seguinte:
Todos os nomes de pool de CA usam o formato de recurso completo:
projects/PROJECT_ID/locations/LOCATION/caPools/CA_POOL_ID.Não há pools de ACs duplicados na lista.
O número total de pools de ACs não excede 10.
O cluster não é compatível com mTLS
Você recebe uma mensagem de erro semelhante a esta:
FAILED_PRECONDITION: Invalid resource state for \"tls_config\": mTLS is not
supported for this cluster because it was created before the mTLS feature
was added. Please create a new cluster to use mTLS.
A mensagem de erro ocorre porque você está tentando ativar o mTLS em um cluster criado antes da disponibilidade do recurso. Como a mensagem de erro sugere, você precisa criar um novo cluster para usar o mTLS. Não é possível ativar o mTLS em um cluster inelegível criado antes de 24 de junho de 2025.
Falhas de conexão do cliente
Se um aplicativo cliente não conseguir se conectar ao endpoint mTLS do cluster, verifique os seguintes problemas de configuração comuns:
Endereço de bootstrap incorreto: verifique se você está usando o endereço de bootstrap correto. Use o endereço de bootstrap do mTLS, que termina em
9192e não em9092.Certificado do cliente inválido ou incorreto: verifique se o certificado do cliente é válido, não expirou e foi emitido por uma AC que reside em um dos pools de ACs configurados no cluster.
Configuração incorreta do keystore do cliente: confirme se a configuração do aplicativo cliente aponta corretamente para os arquivos keystore e truststore e se as senhas estão corretas.
ACLs do Kafka incorretas: verifique se você criou as ACLs do Kafka necessárias para o principal autenticado. O principal é o nome do assunto do certificado (ou alias mapeado), com o prefixo
User:. Por exemplo, se o nome do assunto fortest-user, o principal seráUser:test-user.
Erros no Cloud Logging
Os seguintes erros podem aparecer nos registros do cluster, que podem ser visualizados no Logging. Para mais informações sobre geração de registros, consulte Ver registros usando a Análise de registros.
O tamanho do repositório de confiança excede o máximo
Você vai encontrar uma entrada de registro semelhante a esta:
Trust store size X bytes exceeds the maximum allowed size of 1000 KiB
and cannot be updated.
A mensagem de erro ocorre porque o tamanho total de todos os certificados de CA nos pools de CA configurados é maior que o limite de 1.000 KiB.
Revise os certificados nos seus pools de ACs para reduzir o tamanho total. Isso pode envolver a remoção de certificados grandes ou desnecessários ou a otimização das cadeias de CA.
Falha ao buscar certificados do pool de ACs
Você vai encontrar uma entrada de registro semelhante a esta:
Managed Service for Apache Kafka failed to fetch certificates from
CA pool <ca-pool-name>. Error: <error>.
A mensagem de erro ocorre quando o agente de serviço do Serviço gerenciado para Apache Kafka não consegue recuperar os certificados do pool de CA especificado. A parte de erro da mensagem fornece mais detalhes. Um motivo comum para essa falha é a falta de permissões do IAM.
Verifique se o agente de serviço do Serviço gerenciado para Apache Kafka tem a função
Leitor do pool de ACs (roles/privateca.poolReader) no projeto que
contém o pool de ACs. Isso é especialmente importante em configurações entre projetos.
Para mais informações sobre as permissões necessárias para configurar o mTLS, consulte
Papéis e permissões necessários.