PowerFlex. Сбой преобразования ОС SVM при включенной проверке подлинности MDM SDS_AUTHENTICATION_FAILED

• Преобразование ОС SVM завершено, но сервису SDS не удается повторно подключиться к кластеру.
• В выходных данных команды запроса SDS отображается SVM в списке, но его состояние — Отключено.
• Журналы событий MDM показывают, SDS_RECONNECTED сразу же следует SDS_AUTHENTICATION_FAILED с ошибкой: «Не удалось загрузить пару ключей аутентификации»:

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• Аутентификация MDM включена явным образом (не конфигурация по умолчанию): 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• Системные часы MDM могут показывать неправильное время (например, 1970-01-01), указывающее на отсутствие конфигурации NTP.
• Хроника отслеживаниясообщает о том, что находится в автономном режиме или не показывает действительный источник NTP.

Воздействие

• Преобразование ОС невозможно завершить, пока включена аутентификация MDM.
• Преобразованные узлы SDS остаются в автономном режиме и не могут повторно присоединиться к кластеру.
• Производительность пулов хранения данных может ухудшиться из-за отсутствия емкости SDS.

Важно! Аутентификация MDM отключена в PowerFlex по умолчанию. Эта проблема затрагивает только среды, в которых проверка подлинности включена явным образом для повышения безопасности.

Если включена аутентификация MDM, для обмена данными с MDM сервису SDS требуются действительные сертификаты. Во время преобразования ОС сервис SDS переустанавливается и теряет свои учетные данные сертификата. Когда SDS пытается повторно подключиться, уровень аутентификации MDM блокирует регистрацию, так как SDS не может предоставить действительные сертификаты.

Кроме того, если NTP неправильно настроен на узлах кластера MDM, системные часы могут быть установлены неправильно (обычно отображается 1970-01-01). Сертификаты, созданные с недопустимыми метками времени, отклоняются MDM, что приводит к событиям сбоя выдачи сертификатов. Это предотвратит успешное создание сертификата даже после повторного включения аутентификации.

Процесс преобразования ОС не обрабатывает автоматически рабочий процесс проверки подлинности MDM, что требует ручного вмешательства для отключения аутентификации, разрешения повторного подключения и повторного создания сертификатов.

1. Перед началом преобразования ОС убедитесь, что NTP настроен на всех узлах MDM PowerFlex:

chronyc tracking

Пример:

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

Если NTP не настроен, настройте сервер NTP и проверьте следующее:

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2. Проверьте состояние аутентификации MDM:

scli --query_all | grep -i "MDM connection"

Пример:

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3. Если аутентификация MDM включена, временно отключите проверку подлинности MDM, прежде чем продолжить преобразование ОС:

scli --set_component_authentication_properties --dont_use_authentication

Пример:

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4. Выполните преобразование ОС с помощью PFMP.

5. Убедитесь, что SDS переходят в режим онлайн после преобразования. Ожидаемая дата выпуска: Паспорта безопасности имеют состояние Подключено:

scli --query_all_sds

6. При необходимости повторно включите аутентификацию MDM после успешного повторного подключения SDS:

scli --set_component_authentication_properties --use_authentication

7. Убедитесь, что SDS остаются в режиме онлайн с включенной аутентификацией. Ожидаемая дата выпуска: Паспорта безопасности имеют состояние Подключено: 

scli --query_all_sds

8. Чтобы повторно создать сертификаты для одного или всех SDS, выполните следующие действия.

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

Затронутые версии

ПФМП 4.6.1