在GCP中创建域名映射时卡在‘等待证书置备’状态数日未解决

核心认知纠偏 #

在GCP控制台购买的域名，默认不会自动将DNS解析托管到Cloud DNS——这是绝大多数新手遇到域名映射卡滞的核心原因。域名注册流程仅完成你对域名所有权的备案，不会自动创建对应的Cloud DNS托管区域，也不会自动把域名的NS记录指向Cloud DNS的解析服务器，全流程的关联配置需要手动完成。

逐点排查步骤 #

• 核对NS记录指向一致性
  打开Cloud DNS模块，找到你为该域名创建的公共托管区域，记录详情页展示的4个官方NS服务器地址；再打开Cloud Domains模块，进入对应域名的配置页查看当前生效的名称服务器列表。
  如果两边地址不匹配，说明当前域名的解析根本没有托管在Cloud DNS上，你在Cloud DNS控制台配置的所有记录都不会对外生效。需要将域名的NS记录替换为托管区域对应的4个官方地址，等待全球NS节点同步完成（常规同步周期24-48小时，最长不超过72小时）后再验证映射状态。
• 核对域名解析的有效性
  不要反复提交域名映射申请，先通过公网侧的解析工具确认：你的域名当前解析出的A记录、AAAA记录，是否和映射目标（Cloud Run/云负载均衡）的公网IP完全一致。GCP的域名映射校验逻辑是从公网节点发起请求，确认域名解析到对应目标IP才会标记通过，只要公网解析不通，重复重试多少次都不会推进状态。
• 排查DNSSEC配置冲突
  如果你同时在Cloud DNS托管区域、Cloud Domains域名侧开启了DNSSEC，需要双向校验配置一致性：
  • 托管区域生成的DS记录值，必须完整同步到域名的DNSSEC配置页，两边的算法类型、密钥值完全匹配
  • 任意一端配置不匹配，都会触发DNSSEC校验失败，直接导致所有DNS解析请求被拒绝，让域名映射卡在待校验状态
    可临时关闭DNSSEC做验证：如果关闭后1小时内映射状态恢复正常，即可定位为DNSSEC两端配置不匹配的问题，重新同步DS记录后再开启即可。

高频踩坑提示 #

• 手动创建和域名同名的Cloud DNS托管区域，不代表域名已经绑定到该区域，必须手动替换域名的NS记录完成关联
• 不要依赖系统自动配置的默认逻辑，从域名购买、托管区域创建、NS替换、记录配置到映射提交的全链路，每一步都需要手动校验
• 间隔24小时反复重试映射申请的操作没有实际意义，只要公网解析不通，系统永远无法完成校验

内容的提问来源于stack exchange，提问作者djvaroli