本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 对 SCEP 连接器的 HTTP 错误进行故障排除
<a name="c4scep-troubleshoot-http-error"></a>

当您的客户端触发 SCEP 数据平面连接器 API 操作并导致错误时，SCEP 连接器会向请求客户端发送包含错误信息的 HTTP 响应代码。

除了直接提供给客户端的服务响应外，您还可以使用[适用于 SCEP 的显示器连接器](c4scep-monitoring-overview.md)本节中描述的监控工具来查看和调试导致 HTTP 错误的错误。

以下是服务向 SCEP 客户端返回的错误消息、潜在原因以及为解决问题可以采取的步骤。

## HTTP 400 错误的请求
<a name="troubleshoot-connector-scep-http400"></a>

HTTP 400 响应代码意味着由于明显的客户端错误（例如请求中缺少数据或无效数据），SCEP 连接器无法处理请求。如果错误是由特定于 SCEP 协议的错误引起的，则 SCEP 连接器会将 SCEP 响应作为二进制文件包含在消息中。出于以下任何原因，SCEP 连接器 APIs 可以返回 400 个响应。


| 响应标头 (x-amzn-) ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 的回应？ | 
| --- | --- | --- | --- | --- | 
|  LimitExceededException  |  已超过证书颁发机构颁发限制。  |  与连接器关联的私有证书颁发机构 (CA) 已超过其可以颁发的证书数量的配额。  |  SCEP 连接器在其生命周期内只能连接到一个私有 CA。如果您已用尽私有 CA 的限制，请创建新的连接器或申请增加配额。有关私有 CA 配额的更多信息，请参阅[AWS 私有证书颁发机构 配额](https://docs.aws.amazon.com/general/latest/gr/pca.html#limits_pca)。  |  否  | 
|  ValidationException  |  请求必须包含 base64。  |  SCEP 连接器无法处理 HTTP GET 请求，因为正文无效 Base64。  |  如果可能，请将您的客户端配置为使用 HTTP POST 消息而不是 HTTP GET 消息。如果必须使用 HTTP GET，则消息必须使用 Base64 格式。如果您的客户不符合这些要求，请联系[AWS 支持](https://aws.amazon.com/contact-us/)以寻求帮助。  |  否  | 
|  ValidationException  |  证书颁发机构未激活。  |  与连接器关联的私有 CA 处于非活动状态。  |  重新激活私有 CA。有关信息，请参阅[在中更新私有 CA AWS 私有证书颁发机构](PCAUpdateCA.md)。  |  否  | 
|  ValidationException  |  从今天起，证书颁发机构证书的有效期必须至少为一年。  |  从今天起，与通用连接器关联的私有 CA 的有效期必须为一年。  |  从今天起补发有效期超过一年的证书。有关管理证书的信息，请参阅[管理私有 CA 生命周期](ca-lifecycle.md)。  |  否  | 
|  ValidationException  |  请求中包含的证书已过期。  |  客户端设备在每笔交易中生成的临时证书在服务收到时已过期。  |  很可能是您的客户端设备没有正确配置其时间设置，并且它们正在创建日期晚于实时的证书。如果您无法解决此问题，请联系[AWS 支持](https://aws.amazon.com/contact-us/)寻求帮助。  |  否  | 
|  ValidationException  |  该请求包含无效的加密消息语法。  |  该服务无法解码 SCEP 请求消息。  |  检查您的 SCEP 消息是否符合 SCE [P](https://www.rfc-editor.org/rfc/rfc8894.html) RFC 8894 中定义的加密消息语法。如果您无法解决此问题，请联系[AWS 支持](https://aws.amazon.com/contact-us/)寻求帮助。  |  否  | 
|  ValidationException  |  连接器未激活。  |  连接器的状态为未**激活**。  |  您可以在控制台或 API 的状态字段中找到连接器的[状态](https://docs.aws.amazon.com/pca-connector-scep/latest/APIReference/API_Connector.html#:~:text=Required%3A%20No-,StatusReason,-Information%20about%20why)。连接器的状态可以是**创建**、**活动**、**正在删除**或**失败**。如果状态为**创建**中，请稍后再试您的请求。如果状态为**失败**，请查看状态原因以解决问题，然后创建新的连接器。  |  否  | 
|  ValidationException  |  申请中必须包含有效的证书。  |  客户端请求消息中包含的临时证书要么丢失，要么无效。  |  与 SCEP 兼容的客户端必须提供自签名证书才能进行身份验证。如果您的客户无法提供所需的自签名证书，请联系[AWS 支持](https://aws.amazon.com/contact-us/)以寻求帮助。  |  否  | 
|  ValidationException  |  请求的 URI 无效。  |  SCEP 连接器无法解析请求，因为请求的 URI 路径或查询无效。  |  管理员应验证客户端设备的配置设置，这些设备通常通过移动设备管理 (MDM) 系统进行管理。有关更多信息，请参阅 [步骤 2：将连接器详细信息复制到 MDM 系统中](connector-for-scep-getting-started.md#gs-connector-for-scep-view-details)。  |  否  | 
|  ValidationException  |  请求中只需要一个主机标头。  |  客户端未在请求中提供有效的 HTTP Host 标头，这是处理请求所必需的。  |  需要使用 HTTP 主机标头来区分来自不同连接器的请求。如果您的客户端无法提供所需的 HTTP 主机标头，请联系[AWS 支持](https://aws.amazon.com/contact-us/)以寻求帮助。  |  否  | 
|  ValidationException  |  无法解码请求。请发送有效的 SCEP 请求。  |  该服务无法解码和处理您的客户端发送的加密消息语法 (CMS) 请求。  |  如果您的客户在我们实施 SCEP 时遇到问题，请记下回复中的请求 ID (`x-amzn-requestid`) 并联系我们[AWS 支持](https://aws.amazon.com/contact-us/)。  |  否  | 
|  ValidationException  |  无法使用从请求中派生的值对响应进行编码。请发送有效的 SCEP 请求。  |  该服务无法对 SCEP 响应进行编码。  |  当服务无法使用提供的请求者证书对 SCEP 响应消息进行正确编码时，通常会出现此问题。例如，如果请求者证书具有椭圆曲线数字签名算法 (ECDSA) 密钥，而 SCEP 连接器不支持该密钥，则可能会发生这种情况。 如果遇到此问题，请先将 MDM 或 SCEP 客户端配置为使用 RSA。如果您仍然无法解决问题，请记下回复中的请求编号 (`x-amzn-requestid`)，并联系[AWS 支持](https://aws.amazon.com/contact-us/)寻求帮助。  |  否  | 
|  ValidationException  |  不支持的算法：<OID>  |  该请求由不支持的加密算法签名或加密。  |  我们的服务不支持某些过时且较弱的加密算法。这些信息通过`GetCACaps`请求传达给客户。但是，某些客户端可能不会使用此方法来检查支持的算法。 如果您的客户似乎与我们的服务支持的加密算法不兼容，请联系[AWS 支持](https://aws.amazon.com/contact-us/)以寻求帮助。  |  否  | 
|  ValidationException  |  不支持的 PkiOperation 消息类型。  |  请求消息包含无效的`PkiOperation`消息类型，因此服务无法处理。  |  我们的服务仅支持 RFC 8894 中定义的 SCEP 协议消息类型的子集。具体而言，我们会识别和处理以下消息类型： CertRep、、 PKCSReq GetCert、getCRL 和。 CertPoll 我们通过 Get CACaps 方法向客户端传达支持的消息类型。不幸的是，有些客户可能没有使用这种方法，并且可能不符合我们的服务能力。 如果您的客户似乎与我们的服务支持的 SCEP 消息类型不兼容，请联系[AWS 支持](https://aws.amazon.com/contact-us/)。  |  否  | 
|  BadRequestException  |  质询密码无效。  |  客户端提供的质询密码对于已联系的服务端点及其关联的连接器无效。质询密码是 SCEP 协议中定义的一项必需安全措施，以确保只有经过授权的客户端才能访问该服务。  |  请确保您的客户在其请求中提供了正确的质询密码。您可以在控制台或通过 [GetChallengePassword](https://docs.aws.amazon.com/pca-connector-scep/latest/APIReference/API_GetChallengePassword.html)API 的连接器详细信息中找到。有关更多信息，请参阅 [步骤 2：将连接器详细信息复制到 MDM 系统中](connector-for-scep-getting-started.md#gs-connector-for-scep-view-details)。  |  是  | 
|  BadRequestException  |  证书签名请求中只需要一个质询密码。  |  客户端在其请求中提供了零个或多个质询密码。  |  请确保您的客户在其请求中提供了一个质询密码。您可以在控制台的连接器详细信息中或通过 [GetChallengePassword](https://docs.aws.amazon.com/pca-connector-scep/latest/APIReference/API_GetChallengePassword.html)API 找到质询密码。有关更多信息，请参阅 [步骤 2：将连接器详细信息复制到 MDM 系统中](connector-for-scep-getting-started.md#gs-connector-for-scep-view-details)。  |  是  | 
|  BadRequestException  |  连接器无权访问 Azure。  |  微软 Intune 连接器通过微软 Intune 授权客户请求。这需要你授予 SCEP 连接器访问你的 Azure 资源的权限。  |  配置权限，详见中[第 1 步：授予使用你的 Microsoft Entra ID 应用程序的 AWS 私有 CA 权限第 1 步：授予使用你的 Microsoft Entra ID 应用程序的 AWS 私有 CA 权限](connector-for-scep-intune.md#connector-for-scep-intune-configure-pca)。  |  是  | 
|  BadRequestException  |  Azure 应用程序没有执行权限<action>。  |  微软 Intune 连接器通过微软 Intune 授权客户请求。这需要你授予 SCEP 连接器访问你的 Azure 资源的权限。  |  配置权限，详见中[第 1 步：授予使用你的 Microsoft Entra ID 应用程序的 AWS 私有 CA 权限第 1 步：授予使用你的 Microsoft Entra ID 应用程序的 AWS 私有 CA 权限](connector-for-scep-intune.md#connector-for-scep-intune-configure-pca)。  |  是  | 
|  BadRequestException  |  找不到 Azure 应用程序。  |  微软 Intune 连接器通过微软 Intune 授权客户请求。此错误表示你的 Microsoft Entra ID 中没有应用程序注册，或者你的连接器的 Intune 详细信息配置错误。  |  按照[为 SCEP 的 Connector 配置微软 Intune配置微软 Intune](connector-for-scep-intune.md)主题中的指导进行操作。  |  是  | 
|  BadRequestException  |  Intune 证书签名请求验证失败。原因：<reason>  |  微软 Intune 连接器通过微软 Intune 授权客户请求。此错误消息表明 Intune 验证过程失败，并提供了相应的 Intune 错误代码。  |  按照[为 SCEP 的 Connector 配置微软 Intune配置微软 Intune](connector-for-scep-intune.md)主题中的指导进行操作。如果问题仍然存在，请联系 Microsoft Support。  |  是  | 
|  BadRequestException  |  <message type>不支持的 PkiOperation 消息类型：。  |  请求消息包含无效的消息类型，因此服务无法处理。  |  我们的服务仅支持 RFC 8894 中定义的 SCEP 协议消息类型的子集。具体而言，我们会识别和处理以下消息类型： CertRep、、 PKCSReq GetCert、getCRL 和。 CertPoll 我们通过 Get CACaps 方法向客户端传达支持的消息类型。不幸的是，有些客户可能没有使用这种方法，并且可能不符合我们的服务能力。 如果您的客户似乎与我们的服务支持的 SCEP 消息类型不兼容，请联系[AWS 支持](https://aws.amazon.com/contact-us/)。  |  是  | 
|  BadRequestException  |  不支持密钥算法或长度。  |  该服务不支持证书签名请求中包含的提供的公钥。  |  我们的服务仅支持最多 16,384 位的标准 RSA 密钥和最多 521 位的 ECDSA 密钥。如果您的客户需要使用当前不支持的算法，请联系[AWS 支持](https://aws.amazon.com/contact-us/)以寻求帮助。  |  是  | 

## HTTP 401 未经授权
<a name="troubleshoot-connector-scep-http401"></a>

401 未授权响应状态代码指示客户端请求尚未完成，因为该请求缺少所请求资源的有效身份验证凭证。


| 响应标头 (x-amzn-) ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 的回应？ | 
| --- | --- | --- | --- | --- | 
|  AccessDeniedException  |  连接器无权访问证书颁发机构。  |  SCEP 的连接器无权访问连接器的关联私有 CA。  |  使用 AWS Resource Access Manager与 SCEP 连接器共享您的私有 CA。  |  否  | 
|  AccountDoesNotExistException  |  该 AWS 账户不存在。  |  SCEP 的连接器资源已不存在。  |  拥有目标资源的账户已被删除。如果这是错误的，请在关闭后的 90 天[AWS 支持](https://aws.amazon.com/contact-us/)内联系。  |  否  | 

## 未找到 HTTP 404
<a name="troubleshoot-connector-scep-http404"></a>

HTTP 404 响应代码通常意味着找不到您要查找的资源。


| 响应标头 (x-amzn-ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 的回应？ | 
| --- | --- | --- | --- | --- | 
|  ResourceNotFoundException  |  证书颁发机构不存在。  |  连接器的关联私有 CA 已被删除。  |  如果私有证书颁发机构 (CA) 被误删除，则可以在宽限期内将其恢复。有关更多信息，请参阅 [恢复私有 CA](PCARestoreCA.md)。  |  否  | 
|  ResourceNotFoundException  |  带有端点的连接器<URL>不存在。  |  客户端设备试图连接到不属于任何现有连接器的 URL。  |  确保您的客户端为连接器提供了正确的端点。要查看连接器`Endpoint`，请调用 [GetConnector](https://docs.aws.amazon.com/pca-connector-scep/latest/APIReference/API_GetConnector.html)API 或在控制台的连接器详细信息页面中查看。  |  否  | 

## HTTP 409 冲突
<a name="troubleshoot-connector-scep-http409"></a>

HTTP 409 冲突响应表示与连接器关联的私有 CA 自请求启动以来已更改。


| 响应标头 (x-amzn-) ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 的回应？ | 
| --- | --- | --- | --- | --- | 
|  ConflictException  |  自请求发起以来，连接器已更改。  |  与连接器关联的私有 CA 已更新，从而触发连接器内部证书的轮换，该证书用于通过 SCEP 与客户端设备通信。 在部署新证书时，这种证书轮换可能会在更新期间导致临时问题。但是，应及时自动解决此错误。  |  几分钟后重试您的请求。如果问题仍未解决，请联系[AWS 支持](https://aws.amazon.com/contact-us/)寻求帮助。  |  否  | 

## HTTP 429 请求太多
<a name="troubleshoot-connector-scep-http429"></a>

SCEP 的连接器在每个区域都有账户级别的配额。如果您超过了对连接器的请求限制，则您的请求将被拒绝，并出现 HTTP 429 错误。如果您需要增加配额，请参阅[AWS 私有证书颁发机构 终端节点和配额](https://docs.aws.amazon.com/general/latest/gr/pca.html)。


| 响应标头 (x-amzn-) ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 的回应？ | 
| --- | --- | --- | --- | --- | 
|  ThrottlingException  |  由于请求限制而导致请求被拒绝。  |  已向此 Connector 发出的请求过多，导致某些请求被拒绝。 在部署新证书时，这种证书轮换可能会在更新期间导致临时问题。但是，应及时自动解决此错误。  |  如果您超过了对连接器的请求限制，则您的请求将被拒绝。如果您需要增加配额，请参阅[适用于 SCEP 端点和配额的连接器](https://docs.aws.amazon.com/general/latest/gr/pca.html)。  |  否  |