PowerFlex: La conversione del sistema operativo SVM non riesce quando l'autenticazione MDM è abilitata SDS_AUTHENTICATION_FAILED

• La conversione del sistema operativo SVM viene completata, ma il servizio SDS non riesce a riconnettersi al cluster.
• L'output del comando query SDS mostra la SVM elencata, ma il suo stato è Disconnected.
• I registri eventi MDM mostrano SDS_RECONNECTED immediatamente seguito da SDS_AUTHENTICATION_FAILED con errore: "Impossibile caricare la coppia di chiavi di autenticazione":

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• L'autenticazione MDM è stata abilitata in modo esplicito (non la configurazione predefinita): 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• Gli orologi di sistema MDM potrebbero mostrare un'ora errata (ad esempio, 1970-01-01) indicando una configurazione NTP mancante.
• Il monitoraggio Chronyc segnala Offline o non mostra alcuna origine NTP valida.

Impatto

• La conversione del sistema operativo non può essere completata mentre l'autenticazione MDM è abilitata.
• I nodi SDS convertiti rimangono offline e non possono riconnettersi al cluster.
• I pool di storage possono diventare DEGRADATI a causa della capacità SDS mancante.

Importante: L'autenticazione MDM è disabilitata per impostazione predefinita in PowerFlex. Questo problema interessa solo gli ambienti in cui l'autenticazione è stata abilitata in modo esplicito per una maggiore sicurezza.

Quando l'autenticazione MDM è abilitata, il servizio SDS richiede certificati validi per comunicare con MDM. Durante la conversione del sistema operativo, il servizio SDS viene reinstallato e perde le credenziali del certificato. Quando l SDS tenta di riconnettersi, il livello di autenticazione MDM blocca la registrazione perché l SDS non è in grado di presentare certificati validi.

Inoltre, se NTP non è configurato correttamente sui nodi del cluster MDM, il clock di sistema potrebbe non essere corretto (in genere indicato il 01-01-1970). I certificati generati con timestamp non validi vengono rifiutati da MDM, causando eventi di errore di rilascio dei certificati. Ciò impedisce la corretta generazione del certificato anche dopo la riabilitazione dell'autenticazione.

Il processo di conversione del sistema operativo non gestisce automaticamente il flusso di lavoro di autenticazione MDM e richiede un intervento manuale per disabilitare l'autenticazione, consentire la riconnessione e rigenerare i certificati.

1. Prima di avviare la conversione del sistema operativo, verificare che NTP sia configurato su tutti i nodi PowerFlex MDM:

chronyc tracking

Esempio:

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

Se NTP non è configurato, configurare un server NTP e convalidare:

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2. Verificare lo stato di autenticazione MDM:

scli --query_all | grep -i "MDM connection"

Esempio:

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3. Se l'autenticazione MDM è abilitata, disabilitarla temporaneamente prima di procedere con la conversione del sistema operativo:

scli --set_component_authentication_properties --dont_use_authentication

Esempio:

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4. Eseguire la conversione del sistema operativo utilizzando PFMP.

5. Verificare che gli SDS tornino online dopo la conversione. Previsto: Gli SDS mostrano lo stato Connected:

scli --query_all_sds

6. Riabilitare l'autenticazione MDM dopo aver ricollegato correttamente gli SDS, se necessario:

scli --set_component_authentication_properties --use_authentication

7. Verificare che gli SDS rimangano online con l'autenticazione abilitata. Previsto: Gli SDS mostrano lo stato Connected: 

scli --query_all_sds

8. Per rigenerare i certificati per 1 o per tutti gli SDS:

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

Versioni interessate

PFMP 4.6.1