¿Cómo puedo solucionar el error de API Gateway “Falló la ejecución debido a un error de configuración: problema general de SSLEngine”?

Resolución

Las solicitudes de API Gateway realizan un protocolo de enlace SSL en el backend. Los protocolos de enlace SSL de API Gateway exitosos deben cumplir los siguientes requisitos:

Una CA compatible

La CA debe ser compatible con API Gateway para las integraciones HTTP, HTTP y privadas. Para comprobar la huella digital de la CA, ejecute el siguiente comando de OpenSSL para su sistema operativo:

Linux

openssl x509 -in cert.pem -fingerprint -sha256 -noout

openssl x509 -in cert.pem -fingerprint -sha1 -noout

Windows

openssl x509 -noout -fingerprint -sha256 -inform pem -in [certificate-file.crt]

openssl x509 -noout -fingerprint -sha1 -inform pem -in [certificate-file.crt]

Un certificado ACM válido que no esté vencido

Para comprobar la fecha de vencimiento del certificado, ejecute el siguiente comando de OpenSSL:

openssl x509 -in certificate.crt -text -noout

En la salida, compruebe la fecha y hora de validez:

Validity
            Not Before: Apr 29 12:49:02 2020 GMT
            Not After : Apr 29 12:49:02 2021 GMT

En este resultado de ejemplo, el certificado es válido el 29 de abril de 2020 y vence después del 29 de abril de 2021.

Un certificado de CA válido

Compruebe la configuración del certificado de CA mediante la ejecución del siguiente comando de OpenSSL:

openssl s_client -connect example.com:443 -showcerts

Verifique que:

• El sujeto del intermedio y el certificado coinciden con el emisor del certificado de la entidad.
• El asunto del certificado raíz coincide con los emisores del certificado intermedio.
• El asunto y el emisor son los mismos en el certificado raíz.

Un certificado que no supere los 2048 bits

Compruebe el tamaño del certificado mediante el siguiente comando de OpenSSL:

openssl x509 -in badssl-com.pem -text -noout | grep -E '(Public-Key):'

Nota: El tamaño del certificado no puede superar los 2048 bits.

Si su certificado no cumple ninguno de estos requisitos, actualice primero su CA privada. A continuación, vuelva a emitir un certificado nuevo mediante AWS Certificate Manager (ACM).

---

Información relacionada

Configurar integraciones privadas de API Gateway