PowerFlex: La conversión del SO de SVM falla cuando la autenticación de MDM está habilitada SDS_AUTHENTICATION_FAILED

• La conversión del SO de SVM se completa, pero el servicio SDS no puede volver a conectarse al clúster.
• La salida del comando de consulta de SDS muestra la SVM en la lista, pero su estado es Disconnected.
• Los registros de eventos de MDM muestran SDS_RECONNECTED inmediatamente seguidos de SDS_AUTHENTICATION_FAILED con el error: "No se pudo cargar el par de claves de autenticación":

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• La autenticación de MDM se habilitó explícitamente (no es la configuración predeterminada): 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• Los relojes del sistema MDM pueden mostrar una hora incorrecta (p. ej., 1970-01-01) que indica que falta la configuración de NTP.
• Chronyc realiza informes de seguimientooffline o no muestra ninguna fuente NTP válida.

Impacto

• La conversión del SO no se puede completar mientras la autenticación de MDM está habilitada.
• Los nodos de SDS convertidos permanecen offline y no pueden volver a unirse al clúster.
• Los pools de almacenamiento pueden degradarse debido a la falta de capacidad del SDS.

Importante: La autenticación de MDM está deshabilitada de manera predeterminada en PowerFlex. Este problema solo afecta a entornos en los que la autenticación se habilitó explícitamente para mejorar la seguridad.

Cuando la autenticación de MDM está habilitada, el servicio SDS requiere certificados válidos para comunicarse con el MDM. Durante la conversión del SO, el servicio SDS se reinstala y pierde sus credenciales de certificado. Cuando el SDS intenta volver a conectarse, la capa de autenticación de MDM bloquea el registro porque el SDS no puede presentar certificados válidos.

Además, si NTP no está configurado correctamente en los nodos del clúster de MDM, es posible que el reloj del sistema sea incorrecto (normalmente se muestra 1970-01-01). El MDM rechaza los certificados generados con registros de fecha y hora no válidos, lo que provoca eventos de falla en la emisión de certificados. Esto impide la generación correcta de certificados, incluso después de que se vuelva a habilitar la autenticación.

El proceso de conversión del SO no maneja automáticamente el flujo de trabajo de autenticación de MDM, lo que requiere intervención manual para deshabilitar la autenticación, permitir la reconexión y volver a generar certificados.

1. Antes de iniciar la conversión del SO, valide que NTP esté configurado en todos los nodos MDM de PowerFlex:

chronyc tracking

Ejemplo:

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

Si NTP no está configurado, configure un servidor NTP y valide lo siguiente:

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2. Verifique el estado de autenticación de MDM:

scli --query_all | grep -i "MDM connection"

Ejemplo:

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3. Si la autenticación de MDM está habilitada, deshabilite temporalmente la autenticación de MDM antes de continuar con la conversión del SO:

scli --set_component_authentication_properties --dont_use_authentication

Ejemplo:

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4. Realice la conversión del SO mediante PFMP.

5. Verifique que los SDS estén en línea después de la conversión. Previsto: Los SDS muestran el estado Connected:

scli --query_all_sds

6. Vuelva a habilitar la autenticación de MDM después de volver a conectar correctamente los SDS, si es necesario:

scli --set_component_authentication_properties --use_authentication

7. Verifique que los SDS permanezcan en línea con la autenticación habilitada. Previsto: Los SDS muestran el estado Connected: 

scli --query_all_sds

8. Para volver a generar los certificados de 1 o todos los SDS:

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

Versiones afectadas

PFMP 4.6.1