排查 Secure Access Connect 问题

本页面介绍了如何解决 Secure Access Connect 的问题。

附件创建错误

本部分列出了您在创建附件时可能会遇到的错误，并提供了有关如何解决各个错误的建议。

当您使用 gcloud beta network-security secure-access-connect realms describe 命令确定要将附件连接到的 Symantec 网站后，输出会指明 Symantec 连接是否成功。

如果与 Symantec 的连接成功，输出会包含以下行：

symantecConnectionState: SUCCEEDED

如果输出不包含上述行，或者 symantecConnectionState 不是 SUCCEEDED，则您与 Symantec 的连接不成功。

此问题可能由以下任一原因引起。

您在创建网域时上传的 API 密钥无效。

如需解决此问题，请验证包含 API 密钥的 Secret 的格式。密钥必须采用以下格式，且不得包含任何空格或制表符：
```
USERNAME:PASSWORD
```
如果密钥不符合上述格式，请修改密钥。如果密钥符合上述格式，请尝试生成并上传新的 API 密钥。
相应 Secret 不存在、未与 realm 关联，或者服务账号缺少权限。

如需解决此问题，请执行以下操作：
- 查看 realm 详细信息，并确认密文名称正确无误。
- 验证并更正创建 Secure Access Connect 大区中授予的权限。
Symantec 位置可能已被现有附件使用。

如需解决此问题，请确保您使用的位置未被使用。
Symantec 网站暂时无法访问。

如需解决此问题，请与 Symantec 联系，了解其服务的可用性。

下表列出了与 Symantec 的连接状态及其含义。

州	说明
SYMANTEC_CONNECTION_STATE_UNSPECIFIED	省略状态时的默认值。
已成功	已成功连接到 Symantec。
READ_SECRET_FAILED	无法访问所提供 secret_path 中的 API 密钥，因为该密钥不存在，或者服务账号没有读取该密钥的必要权限。
REQUEST_TO_SYMANTEC_FAILED	由于 API 密钥无效或 Symantec API 不可用，未能从 Symantec API 获得成功响应。

如果您遇到 Palo Alto Network Prisma Access 附件创建错误，请检查是否存在以下问题。

您未设置 Symantec 特有的字段。
您未指定无效的资源名称。

如需解决此问题，请确保您的资源名称符合 RFC 1034 的要求，仅限使用小写字母、数字和连字符，且长度上限为 63 个字符。此外，第一个字符必须是字母，最后一个字符必须是字母或数字。
已存在相应的合作伙伴 realm，并且关联的 realm 处于 PARTNER_ATTACHED 状态。

如果 realm 不处于 PARTNER_ATTACHED 状态，您必须在 Palo Alto Network Prisma Access 控制台中完成附加流程。

下表列出了功能区附加状态及其含义。

领域状态	说明
STATE_UNSPECIFIED	省略状态时使用的默认值。
PENDING_PARTNER_ATTACHMENT	相应领域从未附加到合作伙伴领域。仅用于 Palo Alto Networks Prisma Access。
PARTNER_ATTACHED	此领域已附加到某个合作伙伴。
PARTNER_DETACHED	此大区之前已附加到合作伙伴，但已分离。
KEY_EXPIRED	此领域未附加到合作伙伴领域，且其配对密钥已过期，需要重新生成密钥。仅用于 Palo Alto Networks Prisma Access。

下表列出了 Secure Access Connect 附件状态及其含义。