将SocketCluster部署到Google K8S Engine时Ingress报错SSL密钥过大如何解决

Google Kubernetes Engine 的 Ingress 底层依赖 Google Cloud 全局负载均衡服务，该服务对TLS私钥有明确的限制：仅支持2048位RSA密钥、P256/P384曲线的ECDSA密钥，所有不符合要求的密钥都会触发sslCertificateKeyTooLarge报错。
你使用的4048位Let's Encrypt证书密钥长度超过限制，天生不符合要求，而2048位密钥仍报错，大概率是密钥格式存在问题：比如私钥带加密密码、PEM文件包含冗余的头部/尾部注释、私钥导出时格式错误，这些情况都会被Google Cloud的API误判为密钥长度超限。

• 先验证现有2048位私钥的合规性
  执行如下OpenSSL命令查看私钥实际长度：
  openssl rsa -in your-private-key.key -text -noout
  如果返回结果中RSA Public-Key参数不是(2048 bit)，直接重新生成密钥即可。如果长度符合要求，执行如下命令导出无密码、无冗余内容的纯私钥：
  openssl rsa -in your-private-key.key -out formatted-2048.key
  用导出的formatted-2048.key替换原有私钥，重新创建K8S TLS Secret后重新加载Ingress，90%以上的同类型报错都会被解决。
• 若上述操作仍未解决，直接生成全新的合规证书
  如果是测试用自签名证书，执行如下命令生成完全符合GKE要求的证书对：

# 生成2048位无密码RSA私钥
openssl genrsa -out gke-valid.key 2048
# 生成证书签名请求
openssl req -new -key gke-valid.key -out gke-valid.csr
# 签发有效期1年的自签名证书
openssl x509 -req -days 365 -in gke-valid.csr -signkey gke-valid.key -out gke-valid.crt

如果需要公共可信证书，申请Let's Encrypt等免费CA证书时，指定RSA密钥长度为2048位即可，以certbot为例添加--rsa-key-size 2048参数就能生成合规证书。

• 最后更新Ingress关联的TLS Secret
  删除原有报错的Secret后，用新的证书对创建Secret：
  kubectl create secret tls ingress-tls --cert=gke-valid.crt --key=gke-valid.key
  更新Ingress配置关联该Secret后，服务会在1-2分钟内正常启动。

• 免费公共可信证书：所有主流免费CA都支持签发2048位RSA证书，申请时指定密钥长度即可。
• 付费公共可信证书：所有商业CA都默认提供2048位RSA证书，无需额外配置。
• 测试/内网用证书：直接用上述OpenSSL命令生成自签名证书即可。

内容的提问来源于stack exchange，提问作者Anurag Vohra