Erreurs de validation du certificat TLS

Solutions pour les erreurs de validation de certificat TLS dans Automation Suite sur EKS/AKS.

Si la validation du certificat TLS échoue après la mise à jour des certificats dans Automation Suite, reportez-vous au tableau suivant pour identifier la cause et la solution.

Message d’erreur (contient)	Origine	Résolution
incomplete or untrusted certificate chain	Un certificat intermédiaire manquant, ou la chaîne ne mène pas à l’autorité de certification racine fournie.	Placez tous les certificats intermédiaires et l'autorité de certification racine dans ca.crt.
is not part of the leaf certificate's chain	Un certificat qui n’a pas émis la feuille est présent (un intermédiaire frères ou non associé, ou un doublon).	Assurez-vous que server.crt contient uniquement les certificats de la chaîne de signature réelle de la feuille - supprimez tous les certificats CA frères, non liés ou en double. Placez l'autorité de certification intermédiaire et l'autorité de certification racine de la chaîne de signature dans ca.crt.
certificates are not in the correct order	Les certificats sont hors service.	Classez-les: certificat de feuille, puis intermédiaire(s), puis autorité de certification racine.
leaf certificate does not match fqdn	Le SAN du certificat de feuille omet le nom de domaine complet du cluster, ou server.crt ne commence pas par la feuille.	Assurez-vous que server.crt commence par le certificat de feuille et que le nom de domaine complet du cluster est répertorié dans ses noms alternatifs de sujet.

Exigences en matière de certificat

Pour garantir que la validation du certificat TLS réussisse, assurez-vous que les fichiers de certificat répondent aux exigences suivantes:

• Le fichier server.crt doit contenir la chaîne de certificats de serveur public complète au format PEM. La chaîne doit commencer par le certificat de serveur de la feuille, suivi du ou des certificats CA intermédiaires, puis de l'autorité de certification racine qui constitue le chemin de signature de ce certificat de la feuille.
• Le fichier server.crt doit inclure uniquement les certificats qui font partie de la chaîne de signature réelle du certificat de la feuille. N'incluez pas des certificats CA frères, non liés, en double ou alternatifs, car la validation TLS échoue lorsque des certificats hors de la chaîne de certificats de la feuille sont présents.
• Le fichier ca.crt doit contenir le bundle de certificats CA utilisé pour valider la chaîne de certificats du serveur, y compris le ou les certificats CA intermédiaires et l'autorité de certification racine requis. Le fichier ca.crt ne doit pas inclure le certificat de serveur de la feuille.