PowerFlex: Konwersja SVM OS kończy się niepowodzeniem, gdy uwierzytelnianie MDM jest włączone SDS_AUTHENTICATION_FAILED

• Konwersja SVM OS została zakończona, ale usługa SDS nie może ponownie połączyć się z klastrem.
• Dane wyjściowe polecenia SDS kwerendy pokazują SVM na liście, ale jego stan to Rozłączony.
• Dzienniki zdarzeń MDM pokazują SDS_RECONNECTED zaraz po którym następuje SDS_AUTHENTICATION_FAILED z błędem: "Nie udało się załadować pary kluczy uwierzytelniających":

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• Uwierzytelnianie MDM zostało jawnie włączone (nie jest to konfiguracja domyślna): 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• Zegary systemowe MDM mogą pokazywać nieprawidłowy czas (np. 1970-01-01), co oznacza brak konfiguracji NTP.
• Śledzenie Chronyc zgłasza Offline lub nie pokazuje prawidłowego źródła NTP.

Wpływ

• Nie można ukończyć konwersji systemu operacyjnego, gdy włączone jest uwierzytelnianie MDM.
• Przekonwertowane węzły SDS pozostają w trybie offline i nie mogą ponownie dołączyć do klastra.
• Pule pamięci masowej mogą ulec degradacji z powodu braku pojemności SDS.

Ważne: Uwierzytelnianie MDM jest domyślnie wyłączone w systemie PowerFlex. Ten problem dotyczy tylko środowisk, w których uwierzytelnianie zostało jawnie włączone w celu zwiększenia bezpieczeństwa.

Gdy uwierzytelnianie MDM jest włączone, usługa SDS wymaga ważnych certyfikatów do komunikacji z MDM. Podczas konwersji systemu operacyjnego usługa SDS zostanie ponownie zainstalowana i utraci poświadczenia certyfikatu. Podczas próby ponownego nawiązania połączenia z serwerem SDS warstwa uwierzytelniania MDM blokuje rejestrację, ponieważ serwer SDS nie może przedstawić prawidłowych certyfikatów.

Ponadto, jeśli protokół NTP nie jest prawidłowo skonfigurowany w węzłach klastra MDM, zegar systemowy może być nieprawidłowy (zazwyczaj wyświetlany jest 1970-01-01). Certyfikaty wygenerowane z nieprawidłowymi znacznikami czasu są odrzucane przez MDM, co powoduje zdarzenia niepowodzenia wystawienia certyfikatu. Uniemożliwia to pomyślne wygenerowanie certyfikatu nawet po ponownym włączeniu uwierzytelniania.

Proces konwersji systemu operacyjnego nie obsługuje automatycznie przepływu pracy uwierzytelniania MDM, co wymaga ręcznej interwencji w celu wyłączenia uwierzytelniania, umożliwienia ponownego połączenia i ponownego wygenerowania certyfikatów.

1. Przed rozpoczęciem konwersji systemu operacyjnego sprawdź, czy usługa NTP jest skonfigurowana we wszystkich węzłach PowerFlex MDM:

chronyc tracking

Przykład:

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

Jeśli protokół NTP nie jest skonfigurowany, skonfiguruj serwer NTP i sprawdź, czy to:

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2. Zweryfikuj stan uwierzytelniania MDM:

scli --query_all | grep -i "MDM connection"

Przykład:

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3. Jeśli uwierzytelnianie MDM jest włączone, tymczasowo wyłącz uwierzytelnianie MDM przed kontynuowaniem konwersji systemu operacyjnego:

scli --set_component_authentication_properties --dont_use_authentication

Przykład:

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4. Przeprowadź konwersję systemu operacyjnego przy użyciu programu PFMP.

5. Sprawdź, czy serwery SDS są online po konwersji. Oczekiwane: Dyski SDS pokazują stan Połączono:

scli --query_all_sds

6. W razie potrzeby ponownie włącz uwierzytelnianie MDM po pomyślnym ponownym połączeniu serwerów SDS:

scli --set_component_authentication_properties --use_authentication

7. Sprawdź, czy serwery SDS pozostają w trybie online z włączonym uwierzytelnianiem. Oczekiwane: Dyski SDS pokazują stan Połączono: 

scli --query_all_sds

8. Aby ponownie wygenerować certyfikaty dla 1 lub wszystkich serwerów SDS:

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

Wersje, których dotyczy problem

PFMP 4.6.1