CloudPools-konto Opprett mislyktes, eller CloudPools-kontoen kan ikke nås med melding: clapi error: CL_SSL_CACERT

Forsøk på å opprette en CloudPools-konto får følgende feilmelding:

Account Create Failed. The CloudPools account did not create due to the following error: Account validation failed to connect to remote server: clapi error: CL_SSL_CACERT; Peer certificate cannot be authenticated with known CA certificates.

Den samme feilen vises også etter oppgradering til OneFS 8.2, mens du viser eksisterende CloudPools-kontoer.

Oppretting av CloudPools-konto mislykkes med denne feilen hvis rotsertifikatene ikke er riktig installert. Det samme med mellomliggende selvsignerte sertifikater

Hvis det finnes en oppgradering til OneFs v8.2, skjer dette når en statisk liste over sertifikater overføres til det nye lageret. Dette lageret inneholder ikke sertifikater som ble installert (for eksempel ECS-sertifikat) på systemet for CloudPools, og er ikke en del av denne listen.

Følg trinnene nedenfor for å løse problemet.

1. Kjør følgende kommando for å dumpe en liste over sertifikater fra CloudPools-serveren til en tekstfil:

   openssl s_client -connect <cloudpool_server>:443 -showcerts -certform PEM > cert.txt

2. Fra cert.txt er sertifikatkomponentene som trengs, mellom linjene som begynner med:
   -----BEGIN CERTIFICATE----- AND -----END CERTIFICATE-----

3. Kopier det siste sertifikatet, da det skal være ROOT CA-sertifikatet fra signeringsmyndigheten. Kopier og lim inn alt fra -----BEGIN CERTIFICATE----- til -----END CERTIFICATE----- i en ny fil kalt /ifs/.ifsvar/modules/cloud/cacert/<some_cloudpools_root_cert.pem>.

4. Endre katalogen til plasseringen av sertifikatet.

   cd /ifs/.ifsvar/modules/cloud/cacert

5. Beregn hash for sertifikatfilen med kommandoen:

   openssl x509 -hash -noout -in <some_cloudpools_root_cert>.pem

6. Opprett en symbolsk kobling til sertifikatet ved hjelp av utdataene fra kommandoen hash-verdi:

   ln -s <some_cloudpools_root_cert>.pem <hash_value>.suffix

   Merk:<suffiks> starter som 0. Hvis det er en kollisjon av eksisterende symlink-filnavn, bruker du neste nummer som suffiks.

7. Gå gjennom CloudPools-kontoen og opprett prosessen på nytt.

   Hvis versjonen er OneFs 8.2 og nyere, fortsetter du med de neste trinnene etter behov:

8. Kjør kommandoen for sertifikatimport når du står på banen "/ifs/.ifsvar/modules/cloud/cacert."

   Eksempel:

   # ls -lh 94d536c0.0
   lrwxr-xr-x     1 root  wheel    39B Jun  3 10:35 94d536c0.0 -> cert_cloud account.pem
   # isi certificate authority import --certificate-path=cert_account-URI.pem --description="ECS CA" --name=ecs_cert

9. Finn ecs_cert lagt til autoritetslisten med kommandoen:

   #isi certificate authority list

10. Start tjenesten isi_cpool_d nytt med kommandoen:

    # isi services -a isi_cpool_d disable

    Vent i 30 sekunder, og kjør deretter kommandoen:

    # isi services -a isi_cpool_d enable

11. Bekreft at Cloud-konto er tilgjengelig, og at tilstanden er ok med kommando:

    # isi cloud accounts view <account-name>

Hvis administratoren aktiverer SSL-sertifikatvalidering når han oppretter en konto eller endrer dette alternativet fra 'hopp' til 'ikke hopp over', må serverne ha riktig installert rotsertifiseringer. Ellers klarer ikke CloudPools å koble til skyleverandører, og en SSL_CACERT_ERROR genereres.

Når en konto er konfigurert til å utføre SSL-sertifikatvalidering, utføres validering hver gang Microsoft-utvalg kobler til skyleverandøren for kontoen, og valideringen kan mislykkes. Når dette skjer, opprettes det en hendelseslogghendelse for klynge som 1100000009 CPOOL_CERTIFICATE_ERROR.

Hvis lagringstjenesteleverandøren har installert et selvsignert sertifikat, skal det også vises i sertifikatkjeden når du kobler til serveren. Finn det selvsignerte sertifikatet, siden det er rotsertifikatet for å godkjenne serveren.

Bare rotsertifikater må forhåndsinstalleres på CloudPools-klyngen. Hvis nettstedet distribuerer en SSL Proxy-server, kan det være nødvendig å få og installere de mellomliggende sertifikatene også.

Hvis kopien av rotsertifikatet er i et annet format enn PEM-kodet format, bruker du OpenSSL-kommandoene til å utføre PEM-konvertering før du installerer det.