PowerFlex: Převod SVM OS selže, když je ověřování MDM povoleno SDS_AUTHENTICATION_FAILED

• Převod operačního systému SVM bude dokončen, ale službě SDS se nepodaří znovu připojit ke clusteru.
• Výstup příkazu SDS dotazu zobrazuje SVM v seznamu, ale jeho stav je Disconnected.
• V protokolech událostí MDM se zobrazí SDS_RECONNECTED bezprostředně následovaný SDS_AUTHENTICATION_FAILED s chybou: "Failed loading the authentication key-pair":

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• Ověřování MDM je explicitně zapnuté (nejedná se o výchozí konfiguraci): 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• Systémové hodiny MDM mohou ukazovat nesprávný čas (např. 1970-01-01), což značí chybějící konfiguraci NTP.
• Sledování Chronyc hlásí stav offline nebo nezobrazuje žádný platný zdroj NTP.

Důsledky

• Převod OS nelze dokončit, je-li povoleno ověřování MDM.
• Konvertované uzly SDS zůstávají offline a nemohou se znovu připojit ke clusteru.
• Fondy úložiště mohou být degradovány z důvodu chybějící kapacity SDS.

Důležité: Ověřování MDM je v systému PowerFlex ve výchozím nastavení zakázáno. Tento problém se týká pouze prostředí, kde bylo explicitně povoleno ověřování za účelem zvýšení zabezpečení.

Pokud je povoleno ověřování MDM, vyžaduje služba SDS ke komunikaci s uzlem MDM platné certifikáty. Během převodu operačního systému se služba SDS přeinstaluje a ztratí přihlašovací údaje certifikátu. Když se SDS pokusí znovu připojit, ověřovací vrstva MDM zablokuje registraci, protože SDS nemůže předložit platné certifikáty.

Pokud také protokol NTP není na uzlech clusteru MDM správně nakonfigurován, mohou být systémové hodiny nesprávné (běžně ukazují 1970-01-01). Certifikáty vygenerované s neplatnými časovými razítky jsou uzlem MDM odmítnuty, což vede k selhání vystavení certifikátu. To zabraňuje úspěšnému vygenerování certifikátu i po opětovném povolení ověřování.

Proces převodu operačního systému automaticky nezpracovává pracovní postup ověřování MDM a vyžaduje ruční zásah k zakázání ověřování, povolení opětovného připojení a opětovnému vygenerování certifikátů.

1. Před zahájením převodu operačního systému ověřte, zda je protokol NTP nakonfigurován na všech uzlech PowerFlex MDM:

chronyc tracking

Příklad:

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

Pokud není protokol NTP nakonfigurován, nakonfigurujte server NTP a ověřte:

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2. Ověřte stav ověřování MDM:

scli --query_all | grep -i "MDM connection"

Příklad:

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3. Pokud je ověřování MDM povoleno, před pokračováním v převodu operačního systému ověřování MDM dočasně zakažte:

scli --set_component_authentication_properties --dont_use_authentication

Příklad:

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4. Proveďte konverzi OS pomocí PFMP.

5. Ověřte, že po převodu budou SDS online. Očekáváno: Úložiště SDS zobrazují stav Připojeno:

scli --query_all_sds

6. Opětovné povolení ověřování MDM po úspěšném opětovném připojení úložišť SDS, pokud je to nutné:

scli --set_component_authentication_properties --use_authentication

7. Ověřte, že úložiště SDS zůstává online s povoleným ověřováním. Očekáváno: Úložiště SDS zobrazují stav Připojeno: 

scli --query_all_sds

8. Opětovné vygenerování certifikátů pro 1 nebo všechny bezpečnostní listy:

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

Dotčené verze

PFMP 4.6.1