关联Certificate Map与负载均衡器触发400错误，范围不匹配求助

这个报错的核心是TargetHttpsProxy的scope必须与关联的Certificate Map的scope完全一致，两者无法跨scope混用。以下是具体排查和解决步骤：

1. 明确scope对应的负载均衡场景 #

• DEFAULT：对应常规的全球/区域外部HTTP(S)负载均衡，证书从Google核心数据中心提供服务，是大多数场景的默认选择。
• EDGE_CACHE：仅适用于搭配Cloud CDN的边缘缓存负载均衡，证书从Google边缘节点提供服务，且仅支持托管证书（Managed Certificates）。

2. 检查TargetHttpsProxy的scope #

先确认你的TargetHttpsProxy使用的scope：

gcloud compute target-https-proxies describe YOUR_PROXY_NAME --format="value(scope)"

根据输出结果，调整Certificate Map的scope与之匹配。

3. 调整Certificate Map的scope #

情况1：TargetHttpsProxy的scope是DEFAULT #

确保你的Certificate Map使用DEFAULT scope。如果之前创建时用了错误的scope，可修改：

gcloud certificate-manager certificate-maps update MYCERTIFICATEMAP --location=northamerica-northeast1 --scope=DEFAULT

情况2：TargetHttpsProxy的scope是EDGE_CACHE #

需要将Certificate Map切换为EDGE_CACHE，注意仅托管证书支持该scope：

gcloud certificate-manager certificate-maps update MYCERTIFICATEMAP --location=northamerica-northeast1 --scope=EDGE_CACHE

如果是新创建Certificate Map，直接指定scope：

gcloud certificate-manager certificate-maps create MYCERTIFICATEMAP --location=northamerica-northeast1 --scope=EDGE_CACHE

关键提示 #

• 负载均衡器类型、TargetHttpsProxy的scope、Certificate Map的scope三者必须统一，否则会触发跨scope错误。
• 若不确定场景，优先选择DEFAULT scope，覆盖绝大多数常规负载均衡需求。

内容的提问来源于stack exchange，提问作者Alexander Trauzzi