OCI証明書更新で「extended key usages do not match」エラーが発生。
2026年以降、パブリックCA発行の証明書からClientAuth EKUが削除された業界変更が原因。
旧証明書はServerAuth+ClientAuthの2つ持ちだったが、新証明書はServerAuthのみ。
OCIの「更新」は新旧EKUが一致しないと弾かれるため、「新規作成＋LB差し替え」で対応。
次回以降は同じEKU同士になるため、通常の「更新」で対応可能。
新規作成の環境だと再現できないから、気づくの中々難しそうですね。