RabbitMQ no Amazon MQ: ARN SSL inválido - Amazon MQ
Diagnosticando e endereçando RABBITMQ_INVALID_ARN_SSL

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

RabbitMQ no Amazon MQ: ARN SSL inválido

O RabbitMQ no Amazon MQ gerará um código de ação crítica INVALID_ARN_SSL exigido quando um ou mais ARNs repositórios confiáveis de certificados da CA para EXTERNAL auth_mechanism forem inválidos ou inacessíveis. Isso se aplica ao ARNS especificado em aws.arns.ssl_options.cacertfile ouaws.arns.management.ssl.cacertfile, que deve fazer referência ao objeto Amazon S3 ou ACM PCA contendo o certificado.

Um agente na quarentena do RABBITMQ_INVALID_ARN_SSL não pode autenticar certificados de clientes durante apertos de mão TLS mútuos porque nenhum armazenamento confiável válido está configurado. Se o mecanismo de autenticação EXTERNO for o único método de autenticação configurado, os usuários não conseguirão se conectar ao agente. A inválida ARNs pode ser causada por uma sintaxe de ARN malformada, referências a objetos S3 inexistentes, objetos S3 localizados em uma AWS região diferente da corretora ou permissões s3: /acm-pca: insuficientes na função do IAM. GetObject GetCertificateAuthorityCertificate

Diagnosticando e endereçando RABBITMQ_INVALID_ARN_SSL

Para diagnosticar e resolver o código obrigatório da ação RABBITMQ_INVALID_ARN_SSL, você deve usar o Amazon Logs e o console. CloudWatch

Para resolver o problema de SSL ARN inválido

  1. Navegue até o Amazon CloudWatch Logs Insights e execute a seguinte consulta no grupo de registros do seu corretor/aws/amazonmq/broker/<broker-id>/general:

    
fields @timestamp, @message
| sort @timestamp desc
| filter @message like /error.*aws_arn_config/
| limit 10000

  2. Procure mensagens de erro semelhantes a:

    
[error] <0.209.0> aws_arn_config: {<<"could not resolve ARN 'arn:aws:acm-pca:xxxx' for configuration 'aws.arns.ssl_options.cacertfile', error: \"AWS service is unavailable\"">>,{error,"AWS service is unavailable"}}

  3. Verifique o objeto S3/ACM-PCA e corrija quaisquer problemas, como:

    • Verifique se o segredo existe na mesma AWS região do corretor

    • Confirme se a sintaxe do ARN está correta

    • Certifique-se de que a função do IAM tenha permissões s3: GetObject /acm-pca: GetCertificateAuthorityCertificate

  4. Valide a correção usando o endpoint da API de validação de acesso ARN antes de atualizar a configuração do broker.

  5. Atualize a configuração do broker e reinicialize o broker.