Início / server / Perguntas / 737636
Accepted
Steve Robbins
Asked: 2015-11-20 11:40:33 +0800 CST

Não é possível adicionar o ouvinte SSL, certificado de servidor não encontrado para a chave

  • 772

Estou tentando configurar o SSL em meu balanceador de carga com um certificado que comprei da GoDaddy.

Ao tentar carregar o certificado no console, recebi um erro

Falha ao criar balanceador de carga: certificado de servidor não encontrado para a chave: arn:aws:iam::************:server-certificate/mycert

Nunca encontrei esse erro antes ao adicionar certificados SSL. Não sei por que iamé usado aqui.

Depois de pesquisar no Google, consegui carregar meu certificado iamusando aws cli (novamente, não sei por que tive que fazer isso).

Agora, ao modificar os ouvintes, posso ver meu certificado carregado como um certificado SSL existente. No entanto, quando tento salvar minhas alterações no balanceador de carga, recebo o mesmo erro. Eu verifiquei que o certificado existe:

$ aws iam list-server-certificates
{
    "ServerCertificateMetadataList": [
        {
            "ServerCertificateId": "*********************", 
            "ServerCertificateName": "mycert", 
            "Expiration": "2018-11-19T18:47:38Z", 
            "Path": "/", 
            "Arn": "arn:aws:iam::************:server-certificate/mycert", 
            "UploadDate": "2015-11-19T19:23:32Z"
        }
    ]
}

(Verifiquei que o número da conta ofuscada aqui é o mesmo do erro)

A partir daqui estou preso. Por que não consigo aplicar meu certificado a este balanceador de carga?

Editar quinta-feira, 19 de novembro 11:47:18 PST 2015

Depois de esperar um pouco e fazer logout e login, consegui atualizar os ouvintes com meu certificado SSL. No entanto, não parece estar funcionando corretamente. Ao tentar carregar meu domínio, HTTPSa solicitação expira. Parece que não foi possível carregar o certificado

$ echo | openssl s_client -connect www.example.com:443 2>/dev/null | openssl x509 -noout -subject
unable to load certificate
69457:error:0906D06C:PEM routines:PEM_read_bio:no start line:/SourceCache/OpenSSL098/OpenSSL098-52.30.1/src/crypto/pem/pem_lib.c:648:Expecting: TRUSTED CERTIFICATE
ssl

12 respostas

  1. Best Answer

    Enfrentei o mesmo problema ao tentar criar o ELB a partir do console da web. Eu estava tentando criar um upload de um novo certificado via GUI e finalmente estava falhando com o mesmo erro. Resolvi fazendo upload dos arquivos de certificado separadamente via aws cli. É explicado neste documento - http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/ssl-server-cert.html#upload-cert

    Carregue o certificado, a chave privada e a cadeia de certificados como esta

    aws iam upload-server-certificate --server-certificate-name my-server-cert \
  --certificate-body file://my-certificate.pem --private-key file://my-private-key.pem \
  --certificate-chain file://my-certificate-chain.pem

    Em seguida, acesse o console da web e escolha a opção "Escolha um certificado existente do AWS Identity and Access Management (IAM)" e escolha o par de certificados que acabou de ser carregado. Vai funcionar bem depois disso.

    • 32

  2. O erro é enganoso. Ele carrega o certificado. Depois de receber esse erro, saia e volte para alterar. Escolha o certificado IAM existente e clique no menu suspenso - você deve ver o novo certificado lá.

    • 19

  3. Eu tive o mesmo problema, mas felizmente consegui resolvê-lo sem precisar acessar a CLI. Consegui que o ELB adicionasse um ouvinte HTTPS colando a cadeia de certificados no campo do certificado de chave pública , após o próprio certificado.

    O erro só se manifestou quando a cadeia de certificados foi colada em sua própria caixa de entrada da cadeia de certificados no console (marcada como opcional). Não sei ao certo por que isso fez diferença, mas criou o ouvinte HTTPS no ELB e tudo estava bem.

    • 5

  4. Foi devido a um caractere especial no nome do certificado: .(ponto) no meu caso. Tudo funcionou bem depois de remover todos os pontos do nome do certificado

    • 3

  5. Acabei de acertar isso também. Tentei cinco vezes criar um novo ELB e falhou todas as vezes. Nunca tentei a variante da API, mas consegui definir o certificado SSL por

    1. Primeiro criando o ELB; então
    2. modificando o ouvinte mudando de HTTP para HTTPS e carregando meu certificado+chave+intermediários.
    • 2

  6. Eu enfrentei o mesmo problema. No meu caso, recebi o erro "Certificado do servidor não encontrado para a chave" ao fazer upload de um certificado SSL, mas eles acabaram sendo carregados e exibidos no menu suspenso. Não recebo nenhum erro ao fazer o upload via CLI. Quando entrei em contato com o suporte da AWS, eles me forneceram o motivo do erro abaixo

    A razão para isso acontecer é a consistência eventual. Os certificados carregados são armazenados no IAM. Como o IAM tem um banco de dados enorme, o certificado carregado precisa se propagar por todos os bancos de dados. Se não houver tempo suficiente para propagar, o ELB que está tentando buscar esse certificado não conseguirá localizá-lo no endpoint que está consultando. Portanto, lança "Certificado de servidor não encontrado para a chave". Quando eventualmente é propagado, mais tarde é capaz de vê-lo como um certificado já carregado

    • 1

  7. Eu contornei isso indo para o gerenciador de certificados no console aws e carregando lá primeiro. Em seguida, usando o assistente do balanceador de carga e selecionando o certificado que carreguei.

    • 1

  8. Mesmo problema aqui ao usar a interface da Web da AWS: carreguei um certificado válido, a chave correta e a cadeia completa, mas obtive o erro mencionado acima.

    Tentei fazer upload do certificado para outro balanceador de carga (teste). O upload funcionou, mas o status do ouvinte diz: "Certificado inválido".

    Quando abri a caixa de diálogo "Selecionar certificado" novamente, nenhum certificado foi selecionado. Mas obviamente o certificado foi carregado corretamente, porque pude selecioná-lo na lista de certificados.

    Então, de volta ao meu balanceador de carga original, tentei atribuir este certificado carregado, coisa estranha agora: não estava na lista. Fiz uma nova tentativa e carreguei o certificado e sua chave, mas deixei de fora a cadeia de certificados. Isso funcionou, então eu sabia que devia ser a corrente, isso não está correto (é um comodo-cert). Baixei a cadeia novamente da página oficial, carreguei o pacote inteiro e funcionou. Coisa estranha agora: quando comparei os dois - o corrompido e o novo baixado, eles parecem iguais. Mesmas datas, mesmo serial, mesmo mesmo. Mas diferente.

    Resumindo: funcionou baixando os certificados intermediários novamente.

    • 0

  9. Eu tive esse mesmo problema e o que eventualmente corrigiu foi entrar no grupo de segurança para o balanceador de carga e garantir que a porta 443 fosse aberta.

    • 0

  10. Antes de criar o Classic load balancer você precisa criar uma AMI (Imagem da sua instância em produção) Com isso vá nas configurações de criação do load balancer e faça o processo novamente e após isso os certificados fornecidos e tudo indo bem no meu caso.

    • 0

relate perguntas