Question

我正在尝试通过Kubernetes部署上的cloudsql-proxy容器连接到CloudSQL实例。我已安装了cloudsql凭据，并设置了GOOGLE_APPLICATION_CREDENTIALS的值。

但是，我仍然在日志中收到以下错误：

2018/10/08 20:07:28 Failed to connect to database: Post https://www.googleapis.com/sql/v1beta4/projects/[projectID]/instances/[appName]/createEphemeral?alt=json&prettyPrint=false: oauth2: cannot fetch token: Post https://oauth2.googleapis.com/token: x509: certificate signed by unknown authority

我的连接字符串如下：

[dbUser]:[dbPassword]@cloudsql([instanceName])/[dbName]]?charset=utf8&parseTime=True&loc=Local

并且代理拨号器被影子导入为：

_ github.com/GoogleCloudPlatform/cloudsql-proxy/proxy/dialers/mysql

任何人都知道可能缺少什么？

编辑：

Deployment Spec看起来像这样（JSON格式）：

{
  "replicas": 1,
  "selector": {
    ...
  },
  "template": {
    ...
    "spec": {
      "containers": [
        {
          "image": "[app-docker-imager]",
          "name": "...",
          "env": [
            ...
            {
              "name": "MYSQL_PASSWORD",
              ...
            },
            {
              "name": "MYSQL_USER",
              ...
            },
            {
              "name": "GOOGLE_APPLICATION_CREDENTIALS",
              "value": "..."
            }
          ],

          "ports": [
            {
              "containerPort": 8080,
              "protocol": "TCP"
            }
          ],
          "volumeMounts": [
            {
              "mountPath": "/secrets/cloudsql",
              "name": "[secrets-mount-name]",
              "readOnly": true
            }
          ]
        },
        {
          "command": [
            "/cloud_sql_proxy",
            "-instances=...",
            "-credential_file=..."
          ],
          "image": "gcr.io/cloudsql-docker/gce-proxy:1.11",
          "name": "...",
          "ports": [
            {
              "containerPort": 3306,
              "protocol": "TCP"
            }
          ],
          "volumeMounts": [
            {
              "mountPath": "/secrets/cloudsql",
              "name": "[secrets-mount-name]",
              "readOnly": true
            }
          ]
        }
      ],
      "volumes": [
        {
          "name": "[secrets-mount-name]",
          "secret": {
            "defaultMode": 420,
            "secretName": "[secrets-mount-name]"
          }
        }
      ]
    }
  }
}

Answer 1

该错误消息表明您的客户端无法信任https://www.googleapis.com的证书。可能有两个原因：

您的客户端不知道要信任的根证书。官方的cloudsql-proxy docker image包含根证书，因此，如果您使用该映像，这不是您的问题。如果您不使用该映像，则应该（或至少在映像中安装ca证书）。
您的出站流量被使用不同，不受信任的证书的代理服务器拦截。这可能是恶意的（在这种情况下，您需要调查谁在拦截您的流量）。更为温和的是，您可能在组织中，该组织使用出站代理根据策略检查流量。在这种情况下，您应该构建一个新的Docker映像，其中应包含组织的出站代理使用的CA证书。

无法连接到代理“由未知授权机构签名的证书”

1 个答案: