TLS 証明書の検証エラー

EKS/AKS の Automation Suite での TLS 証明書の検証エラーの解決策です。

Automation Suite で証明書を更新した後に TLS 証明書の検証に失敗する場合は、以下の表を参照して原因と解決策を特定してください。

エラー メッセージ (次の値を含む)	原因	解決方法
incomplete or untrusted certificate chain	中間証明書が見つからないか、チェーンが指定されたルート CA に接続されていません。	すべての中間証明書とルート CA を ca.crtに配置します。
is not part of the leaf certificate's chain	リーフを発行していない証明書が存在します (兄弟または無関係の中間者、または重複)。	server.crtリーフの実際の署名チェーンの証明書のみが含まれていることを確認し、兄弟証明書、関連しない CA 証明書、または重複する CA 証明書をすべて削除します。署名チェーンの中間キーとルート CA を ca.crtに配置します。
certificates are not in the correct order	証明書の順序が間違っています。	リーフ証明書、中間証明書、ルート CA の順に並べます。
leaf certificate does not match fqdn	リーフ証明書の SAN でクラスター FQDN が省略されているか、 server.crt がリーフで開始されていません。	server.crtがリーフ証明書で始まっており、クラスター FQDN がサブジェクトの別名にリストされていることを確認します。

証明書の要件

TLS 証明書の検証を成功させるには、証明書ファイルが次の要件を満たしていることを確認します。

• server.crtファイルには、PEM形式の完全なパブリックサーバー証明書チェーンが含まれている必要があります。チェーンは、リーフ サーバー証明書で始まり、その後に中間 CA 証明書、そしてそのリーフ証明書の署名パスを形成するルート CA が続く必要があります。
• server.crtファイルには、リーフ証明書の実際の署名チェーンの一部である証明書のみを含める必要があります。リーフ証明書のチェーンの外部にある証明書が存在する場合、TLS 検証が失敗するため、兄弟証明書、無関係証明書、重複証明書、または代替 CA 証明書を含めないでください。
• ca.crtファイルには、サーバー証明書チェーンの検証に使用する CA 証明書バンドル (必要な中間 CA 証明書やルート CA など) が含まれている必要があります。ca.crt ファイルにリーフ サーバー証明書を含めることはできません。