Server Load Balancer:Perguntas frequentes sobre certificados do CLB

Antes de começar: requisitos do certificado

Antes de fazer upload de um certificado, confirme que ele atende aos seguintes requisitos:

• Codificado em Base64 conforme RFC 4648 (formato PEM)

• O arquivo do certificado começa com -----BEGIN CERTIFICATE----- e termina com -----END CERTIFICATE-----

• A chave privada é uma chave RSA no formato PKCS#1, que começa com -----BEGIN RSA PRIVATE KEY-----

• A chave privada não é criptografada

• A cadeia de certificados está completa: certificado do servidor seguido do(s) certificado(s) intermediário(s)

• A instância do CLB e o certificado foram criados com o mesmo tipo de conta Alibaba Cloud

"Invalid parameter" ao fazer upload de um certificado de terceiros

Causa: o conteúdo ou o formato de codificação do certificado é inválido.

Solução: verifique o certificado com OpenSSL:

openssl x509 -noout -text -in certificate.pem

Se o comando retornar um erro, o certificado está corrompido ou incompleto. O CLB exige certificados codificados em Base64 conforme RFC 4648. Se o certificado usar uma codificação diferente, converta-o antes do upload.

"The specified Server Certificate format is invalid" ao fazer upload de um certificado de terceiros

Causa: o conteúdo da chave privada é inválido.

Solução: verifique a chave privada com OpenSSL:

openssl rsa -in private.key -check

Se a saída incluir RSA key ok, a chave é válida. Caso contrário, obtenha uma chave privada válida correspondente ao certificado junto à Autoridade Certificadora (CA).

"No certificate chain is found in the certificate content"

Causa: o arquivo do certificado não contém o(s) certificado(s) intermediário(s) da CA.

Solução: entre em contato com a CA para obter a cadeia de certificados completa e concatene os arquivos na seguinte ordem:

1. Certificado do servidor (seu certificado)

2. Certificado(s) intermediário(s)

3. Certificado raiz (opcional, geralmente omitido)

"The format of the private key content is invalid"

Causa: o CLB exige chaves privadas RSA no formato PKCS#1. Chaves no formato PKCS#8 ou chaves criptografadas não são aceitas.

Solução: converta para o formato PKCS#1:

openssl rsa -in pkcs8_key.pem -out pkcs1_key.pem -traditional

O flag -traditional é necessário para OpenSSL 3.x, que gera saída no formato PKCS#8 por padrão.

A chave convertida deve estar no seguinte formato:

Exemplo: chave privada PKCS#1

-----BEGIN RSA PRIVATE KEY-----
Base64-encoded private key
-----END RSA PRIVATE KEY-----

"The format of the certificate content is invalid"

Causa: o certificado não corresponde ao formato PEM esperado.

Solução: confirme que o certificado está no seguinte formato:

Exemplo: certificado codificado em PEM

-----BEGIN CERTIFICATE-----
Base64-encoded certificate
-----END CERTIFICATE-----

Verifique os seguintes problemas comuns:

• Espaços em branco ou quebras de linha extras

• Linhas de cabeçalho ou rodapé ausentes

• Conteúdo parcial de uma cópia-colagem incompleta

Se o formato parecer correto, entre em contato com a CA para verificar o conteúdo do certificado.

"The certificate does not exist" ao selecionar um certificado para um listener HTTPS

Causa: a instância do CLB e o certificado foram criados com tipos de conta diferentes. Por exemplo, a instância do CLB foi criada com uma conta Alibaba Cloud, mas o certificado foi enviado usando uma conta Alibaba Finance Cloud.

Solução: use a mesma conta para criar a instância do CLB e o certificado.

Erro 500 ao chamar UploadServerCertificate

Mensagem de erro: "The request processing has failed due to some unknown error, exception or failure"

Causa: o parâmetro AliCloudCertificateRegionId está definido com o valor incorreto. Este parâmetro especifica a região onde o certificado SSL foi emitido, e não a região da instância do CLB.

Solução: defina AliCloudCertificateRegionId de acordo com o local de emissão do certificado: