Errores de validación del certificado TLS

Soluciones para errores de validación de certificados TLS en Automation Suite en EKS/AKS.

Si la validación del certificado TLS falla después de actualizar los certificados en Automation Suite, consulta la siguiente tabla para identificar la causa y la resolución.

Mensaje de error (contiene)	Causa	Resolución
incomplete or untrusted certificate chain	Falta un certificado intermedio o la cadena no conduce a la CA raíz proporcionada.	Coloca todos los certificados intermedios y la CA raíz en ca.crt.
is not part of the leaf certificate's chain	Está presente un certificado que no emitió la hoja (un certificado hermano o intermedio no relacionado, o un duplicado).	Asegúrese de que server.crt contenga solo los certificados de la cadena de firma real de la hoja: elimine cualquier certificado de CA relacionado, no relacionado o duplicado. Coloca los intermedios de la cadena de firmas y la CA raíz en ca.crt.
certificates are not in the correct order	Los certificados están fuera de servicio.	Ordénalos: certificado de hoja, luego intermedio(s) y luego CA raíz.
leaf certificate does not match fqdn	La SAN del certificado de hoja omite el FQDN del clúster, o server.crt no comienza con la hoja.	Asegúrate de que server.crt comience con el certificado de hoja y de que el FQDN del clúster aparezca en sus Nombres alternativos del sujeto.

Requisitos de los certificados

Para garantizar que la validación del certificado TLS se realice correctamente, asegúrate de que los archivos del certificado cumplan los siguientes requisitos:

• El archivo server.crt debe contener la cadena de certificados del servidor público completa en formato PEM. La cadena debe comenzar con el certificado del servidor hoja, seguido de los certificados de CA intermedios y luego la CA raíz que forma la ruta de firma para ese certificado hoja.
• El archivo server.crt debe incluir solo certificados que forman parte de la cadena de firma real del certificado de hoja. No incluyas certificados de CA hermanos, no relacionados, duplicados o alternativos, ya que la validación TLS falla cuando están presentes certificados fuera de la cadena de certificados hoja.
• El archivo ca.crt debe contener el paquete de certificados de CA utilizado para validar la cadena de certificados del servidor, incluidos los certificados de CA intermedios necesarios y la CA raíz. El archivo ca.crt no debe incluir el certificado del servidor hoja.