Validierungsfehler beim TLS-Zertifikat

Lösungen für Validierungsfehler von TLS-Zertifikaten in Automation Suite auf EKS/AKS.

Wenn die Validierung des TLS-Zertifikats nach der Aktualisierung der Zertifikate in der Automation Suite fehlschlägt, sehen Sie in folgender Tabelle nach, um die Ursache und die Lösung zu ermitteln.

Fehlermeldung (enthält)	Ursache	Resolution
incomplete or untrusted certificate chain	Ein fehlendes Zwischenzertifikat oder die Kette führt nicht zur angegebenen Stammzertifizierungsstelle.	Legen Sie alle Zwischenzertifikate und die Stammzertifizierungsstelle unter ca.crt ab.
is not part of the leaf certificate's chain	Ein Zertifikat, das das Blatt nicht ausgestellt hat, ist vorhanden (ein gleichgeordnetes oder nicht verwandtes Zwischenzertifikat oder ein Duplikat).	Stellen Sie sicher, dass server.crt nur die Zertifikate aus der eigentlichen Signaturkette des Blatts enthält – entfernen Sie alle gleichgeordneten, nicht verwandten oder doppelten Zertifikate von Zertifizierungsstellen. Setzen Sie das/die Zwischen(s) und die Stammzertifizierungsstelle der Signaturkette in ca.crt ein.
certificates are not in the correct order	Zertifikate sind nicht in der richtigen Reihenfolge.	Sortieren Sie sie: Blattzertifikat, dann Zwischenzertifikat(e), dann Stammzertifikat.
leaf certificate does not match fqdn	Das SAN des Blattzertifikats lässt den Cluster-FQDN weg oder server.crt beginnt nicht mit dem Blatt.	Stellen Sie sicher, dass server.crt mit dem Blattzertifikat beginnt und dass der Cluster-FQDN in den alternativen Antragstellernamen aufgeführt ist.

Zertifikatsanforderungen

Um sicherzustellen, dass die Validierung des TLS-Zertifikats erfolgreich ist, stellen Sie sicher, dass die Zertifikatsdateien die folgenden Anforderungen erfüllen:

• Die server.crt -Datei muss die vollständige öffentliche Serverzertifikatkette im PEM-Format enthalten. Die Kette muss mit dem Blattserverzertifikat beginnen, gefolgt von den Zwischenzertifikaten der Zertifizierungsstelle und dann der Stammzertifizierungsstelle, die den Signaturpfad für dieses Blattzertifikat bilden.
• Die server.crt -Datei darf nur Zertifikate enthalten, die Teil der eigentlichen Signaturkette des Blattzertifikats sind. Fügen Sie keine gleichgeordneten, nicht verwandten, doppelten oder alternativen Zertifikate von Zertifizierungsstellen ein, da die TLS-Validierung fehlschlägt, wenn Zertifikate außerhalb der Kette des Blattzertifikats vorhanden sind.
• Die ca.crt -Datei muss das Zertifizierungsstellenzertifikatpaket enthalten, das zum Validieren der Serverzertifikatkette verwendet wird, einschließlich des erforderlichen Zwischenzertifikats und der Stammzertifizierungsstelle. Die ca.crt -Datei darf das Blattserverzertifikat nicht enthalten.