PowerFlex: SVM OS-konvertering mislykkes når MDM-godkjenning er aktivert SDS_AUTHENTICATION_FAILED

• SVM OS-konvertering fullføres , men SDS-tjenesten kan ikke koble til klyngen på nytt.
• SDS-kommandoens utdata for spørringen viser SVM-en som er oppført, men tilstanden er Frakoblet.
• MDM-hendelseslogger viser SDS_RECONNECTED umiddelbart etterfulgt av SDS_AUTHENTICATION_FAILED med feil: "Failed loading the authentication key-pair":

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• MDM-godkjenning er eksplisitt aktivert (ikke standardkonfigurasjonen): 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• MDM-systemklokker kan vise feil tid (f.eks. 1970-01-01) som angir manglende NTP-konfigurasjon.
• Chronyc-sporingsrapporterer frakoblet eller viser ingen gyldig NTP-kilde.

Innvirkning

• Konvertering av operativsystemet kan ikke fullføres når MDM-godkjenning er aktivert.
• Konverterte SDS-noder forblir frakoblet, og kan ikke bli med i klyngen på nytt.
• Lagringsgrupper kan bli DEGRADERT på grunn av manglende SDS-kapasitet.

Viktig: MDM-godkjenning er deaktivert som standard i PowerFlex. Dette problemet påvirker bare miljøer der godkjenning er eksplisitt aktivert for forbedret sikkerhet.

Når MDM-godkjenning er aktivert, krever SDS-tjenesten gyldige sertifikater for å kommunisere med MDM. Under konvertering av operativsystem installeres SDS-tjenesten på nytt, og mister sertifikatlegitimasjonen. Når SDS prøver å koble til på nytt, blokkerer MDM-godkjenningslaget registreringen fordi SDS ikke kan presentere gyldige sertifikater.

Hvis NTP ikke er riktig konfigurert på MDM-klyngenodene, kan systemklokken være feil (viser vanligvis 1970-01-01). Sertifikater som genereres med ugyldige tidsstempler, avvises av MDM-en, noe som fører til mislykkede sertifikatutstedelser. Dette forhindrer vellykket sertifikatgenerering selv etter at godkjenning er aktivert på nytt.

Konverteringsprosessen for operativsystemet håndterer ikke MDM-godkjenningsarbeidsflyten automatisk, og krever manuell inngripen for å deaktivere godkjenning, tillate ny tilkobling og generere sertifikater på nytt.

1. Før du starter OS-konverteringen, må du kontrollere at NTP er konfigurert på alle PowerFlex MDM-noder:

chronyc tracking

Eksempel:

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

Hvis NTP ikke er konfigurert, konfigurerer du en NTP-server og validerer:

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2. Bekreft MDM-godkjenningsstatus:

scli --query_all | grep -i "MDM connection"

Eksempel:

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3. Hvis MDM-godkjenning er aktivert, deaktiver MDM-godkjenning midlertidig før du fortsetter med konvertering av operativsystemet:

scli --set_component_authentication_properties --dont_use_authentication

Eksempel:

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4. Utfør OS-konvertering ved hjelp av PFMP.

5. Kontroller at SDS-ene kobles til etter konvertering. Forventet: SDS-er viser statusen Tilkoblet:

scli --query_all_sds

6. Aktiver MDM-godkjenning på nytt etter en vellykket tilkobling av SDS-ene hvis nødvendig:

scli --set_component_authentication_properties --use_authentication

7. Kontroller at SDS-ene forblir tilkoblet med godkjenning aktivert. Forventet: SDS-er viser statusen Tilkoblet: 

scli --query_all_sds

8. Slik genererer du sertifikatene på nytt for 1 eller alle SDS-ene:

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

Berørte versjoner

PFMP 4.6.1