Wie kann ich den API-Gateway-Fehler „Execution failed due to configuration error: General SSLEngine problem” beheben?

Lösung

API-Anforderungen in API Gateway führen einen SSL-Handshake im Backend durch. Erfolgreiche API-Gateway-SSL-Handshakes müssen die folgenden Anforderungen erfüllen:

Eine unterstützte CA

Die CA muss von API Gateway für HTTP-, HTTP-Proxy- und private Integrationen unterstützt werden. Um den CA-Fingerabdruck zu überprüfen, führe den folgenden OpenSSL-Befehl für das Betriebssystem aus:

Linux

openssl x509 -in cert.pem -fingerprint -sha256 -noout

openssl x509 -in cert.pem -fingerprint -sha1 -noout

Windows

openssl x509 -noout -fingerprint -sha256 -inform pem -in [certificate-file.crt]

openssl x509 -noout -fingerprint -sha1 -inform pem -in [certificate-file.crt]

Ein gültiges ACM-Zertifikat, das nicht abgelaufen ist

Führe den folgenden OpenSSL-Befehl aus, um das Ablaufdatum des Zertifikats zu überprüfen:

openssl x509 -in certificate.crt -text -noout

Prüfe in der Ausgabe den Gültigkeitszeitstempel:

Validity
            Not Before: Apr 29 12:49:02 2020 GMT
            Not After : Apr 29 12:49:02 2021 GMT

In dieser Beispielausgabe ist das Zertifikat am 29. April 2020 gültig und läuft nach dem 29. April 2021 ab.

Ein gültiges CA-Zertifikat

Überprüfe die Konfiguration des CA-Zertifikats, indem du den folgenden OpenSSL-Befehl ausführst:

openssl s_client -connect example.com:443 -showcerts

Validiere Folgendes:

• Der Betreff des Zwischenzertifikats und des Zertifikats entspricht dem Aussteller des Entitätszertifikats.
• Der Betreff des Stammzertifikats entspricht den Ausstellern des Zwischenzertifikats.
• Der Betreff und der Aussteller sind im Stammzertifikat identisch.

Ein Zertifikat, das 2048 Bit nicht überschreitet

Überprüfe die Größe des Zertifikats, indem du den folgenden OpenSSL-Befehl ausführst:

openssl x509 -in badssl-com.pem -text -noout | grep -E '(Public-Key):'

Hinweis: Die Größe des Zertifikatsdarf 2048 Bit nicht überschreiten.

Wenn das Zertifikat keine dieser Anforderungen erfüllt, aktualisiere zunächst die private CA. Stelle dann mithilfe von AWS Certificate Manager (ACM) ein neues Zertifikat erneut aus.

Ähnliche Informationen

Private Integrationen für REST-APIs in API Gateway