无法连接到代理"Certificate signed by unknown authority"

Question

我正在尝试通过 Kubernetes 部署上的 cloudsql-proxy 容器连接到 CloudSQL 实例。我已经挂载了 cloudsql 凭据并设置了GOOGLE_APPLICATION_CREDENTIALS值。

但是，我的日志中仍然收到以下错误：

2018/10/08 20:07:28 Failed to connect to database: Post https://www.googleapis.com/sql/v1beta4/projects/[projectID]/instances/[appName]/createEphemeral?alt=json&prettyPrint=false: oauth2: cannot fetch token: Post https://oauth2.googleapis.com/token: x509: certificate signed by unknown authority

我的连接字符串如下所示：

[dbUser]:[dbPassword]@cloudsql([instanceName])/[dbName]]?charset=utf8&parseTime=True&loc=Local

代理拨号器以以下方式卷影导入：

_ github.com/GoogleCloudPlatform/cloudsql-proxy/proxy/dialers/mysql

有人知道可能缺少什么吗？

编辑：

部署规范如下所示(JSON 格式(：

{
"replicas": 1,
"selector": {
...
},
"template": {
...
"spec": {
"containers": [
{
"image": "[app-docker-imager]",
"name": "...",
"env": [
...
{
"name": "MYSQL_PASSWORD",
...
},
{
"name": "MYSQL_USER",
...
},
{
"name": "GOOGLE_APPLICATION_CREDENTIALS",
"value": "..."
}
],
"ports": [
{
"containerPort": 8080,
"protocol": "TCP"
}
],
"volumeMounts": [
{
"mountPath": "/secrets/cloudsql",
"name": "[secrets-mount-name]",
"readOnly": true
}
]
},
{
"command": [
"/cloud_sql_proxy",
"-instances=...",
"-credential_file=..."
],
"image": "gcr.io/cloudsql-docker/gce-proxy:1.11",
"name": "...",
"ports": [
{
"containerPort": 3306,
"protocol": "TCP"
}
],
"volumeMounts": [
{
"mountPath": "/secrets/cloudsql",
"name": "[secrets-mount-name]",
"readOnly": true
}
]
}
],
"volumes": [
{
"name": "[secrets-mount-name]",
"secret": {
"defaultMode": 420,
"secretName": "[secrets-mount-name]"
}
}
]
}
}
}

Answer 1

错误消息指示客户端无法信任 https://www.googleapis.com 证书。这有两个可能的原因：

1. 客户端不知道要信任哪些根证书。官方的 cloudsql-proxy docker 镜像包含根证书，所以如果你正在使用那个镜像，这不是你的问题。如果不使用该映像，则应(或至少在映像中安装 ca 证书(。

2. 您的出站流量正被使用其他不受信任证书的代理服务器拦截。这可能是恶意的(在这种情况下，您需要调查谁在拦截您的流量(。更良性地说，您可能在组织中使用出站代理根据策略检查流量。如果是这种情况，则应生成一个新的 docker 映像，其中包含组织的出站代理使用的 CA 证书。