创建ManagedCertificate会导致“状态：FailedNotVisible”

Question

使用Kubernetes 1.12.6-gke。7或更高版本可以创建ManagedCertificate，然后从向Internet公开服务的入口资源引用该证书。

运行kubectl描述管理证书证书名称首先指示证书处于配置状态，但最终转到FailedNotViable。

尽管使用静态IP和DNS可以很好地解析上述服务的http版本，但所有ManagedCertificate最终都会处于“状态：FailedNotVisible”状态。

我正在做的概述：

>

生成保留（静态）外部IP地址

将CloudDNS中的DNS A记录配置为子域。领域com从步骤1生成IP地址。

过了一会儿

kubectl描述managedcertificate子域域证书

结果为“状态：FailedNotVisible”。

Name:         subdomain-domain-certificate
Namespace:    default
Labels:       <none>
Annotations:  <none>
API Version:  networking.gke.io/v1beta1
Kind:         ManagedCertificate
Metadata:
  Creation Timestamp:  2019-04-15T17:35:22Z
  Generation:          1
  Resource Version:    52637
  Self Link:           /apis/networking.gke.io/v1beta1/namespaces/default/managedcertificates/subdomain-domain-certificate
  UID:                 d8e5a0a4-5fa4-11e9-984e-42010a84001c
Spec:
  Domains:
    subdomain.domain.com
Status:
  Certificate Name:    mcrt-ac63730e-c271-4826-9154-c198d654f9f8
  Certificate Status:  Provisioning
  Domain Status:
    Domain:  subdomain.domain.com
    Status:  FailedNotVisible
Events:
  Type    Reason  Age   From                            Message
  ----    ------  ----  ----                            -------
  Normal  Create  56m   managed-certificate-controller  Create SslCertificate mcrt-ac63730e-c271-4826-9154-c198d654f9f8

据我所知，如果负载平衡器配置正确（在ManagedCertificate资源的引擎盖下完成），并且DNS（可以很好地解析为非httpsendpoint）签出证书，那么证书应该处于一种状态：活动状态？

Answer 1

您需要确保域名解析为您的GKE入口的IP地址，并严格遵循“使用托管证书创建入口”的说明。

有关更多详细信息，请参阅Google云负载平衡文档。从…起https://cloud.google.com/load-balancing/docs/ssl-certificates#domain-状态：

“状态FAILED\u NOT\u VISIBLE表示由于DNS或负载平衡配置问题，域的证书设置失败。请确保DNS配置为使证书的域解析为负载平衡器的IP地址。”

Answer 2

DNSSEC确实没有为我的域启用，但在配置之后，ManagedCertificate配置仍然没有完成，我不知道发生了什么。删除并重新应用ManagedCertificate和入口清单并没有奏效。但是发出命令gcloud beta compute ssl certificates list显示了几个未使用的托管证书，并使用云计算ssl certificates delete NAME删除它们 ，然后重新启动配置过程在我的情况下就成功了。

Answer 3

我的问题最终是DNSSEC的错误配置。通过运行DNS后https://dnssec-analyzer.verisignlabs.com/我能够识别并修复该问题。