Gcp | inetshell

Certificado gestionado de Google que nunca se emite: CAA (pki.goog, letsencrypt.org), FAILED_NOT_VISIBLE y el orden correcto

CAA con issue pki.goog y issue letsencrypt.org (o ningún CAA), A/AAAA apuntando solo a la IP del balanceador, certificado adjunto al target proxy, y hasta 60 minutos. gcloud compute ssl-certificates describe muestra el domainStatus que dice cuál de las tres falla.

Cloud VPN de GCP no levanta: leer los logs IKE (peer not responding, traffic selectors narrowed) y el BGP con pfSense

Logs Explorer con resource.type=vpn_gateway y el texto del estado IKE. ‘peer not responding’ = versión IKE, PSK, IP o UDP 500/4500; ’traffic selectors narrowed’ = subredes de fase 2 que no coinciden. Con pfSense y BGP: route maps permit in/out o no se aceptan rutas.

GitHub Actions → Google Cloud sin llaves: Workload Identity Federation con gcloud y Terraform

Pool + proveedor OIDC con issuer token.actions.githubusercontent.com y attribute-condition por repository_owner; roles/iam.workloadIdentityUser al principalSet del repo; auth@v3 con workload_identity_provider y service_account. Sin secretos que rotar.

Importar dumps a Cloud SQL sin errores: DEFINER y SUPER (ERROR 1227) en MySQL, extensiones y owners en PostgreSQL

MySQL: mysqldump –hex-blob –single-transaction –set-gtid-purged=OFF –default-character-set=utf8mb4; DEFINER de usuarios que no existen en la instancia (o root@localhost) rompen la importación. PostgreSQL: pg_dump –format=plain –no-owner –no-acl y sed para comentar DROP/CREATE/COMMENT ON EXTENSION. Service account de la instancia con objectAdmin en el bucket; gcloud sql import sql con –database y –user.

Vault Agent Injector en GKE privado: el sidecar no aparece y el pod tarda 30 s (el control plane no llega al webhook en el 8080)

gcloud compute firewall-rules create … –source-ranges= –target-tags= –rules=tcp:8080. Valida borrando un pod y buscando ‘handler: Request received: Method=POST URL=/mutate’ en el injector. Aplica a cualquier webhook que no escuche en 443 o 10250.