PowerFlex：啟用 MDM 驗證SDS_AUTHENTICATION_FAILED時，SVM 作業系統轉換會失敗

• SVM 作業系統轉換完成，但 SDS 服務無法重新連線至叢集。
• 查詢 SDS 命令的輸出 顯示列出的 SVM，但其狀態為已斷開連接。
• MDM 事件記錄顯示SDS_RECONNECTED後緊跟著SDS_AUTHENTICATION_FAILED並顯示錯誤：「載入認證金鑰對失敗」：

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• MDM 身份驗證已顯式啟用（不是預設配置）： 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• MDM 系統時鐘可能會顯示不正確的時間 （例如 1970-01-01），表示遺失 NTP 組態。
• Chronyc 追蹤報告離線或顯示沒有有效的 NTP 來源。

影響

• 啟用 MDM 認證時，無法完成作業系統轉換。
• 轉換後的 SDS 節點仍會保持離線，且無法重新加入叢集。
• 由於缺少 SDS 容量，儲存集區可能會降級。

重要：PowerFlex 中的 MDM 驗證預設為停用。此問題僅影響顯式啟用身份驗證以增強安全性的環境。

啟用 MDM 身份驗證後，SDS 服務需要有效的證書才能與 MDM 通信。在作業系統轉換期間，會重新安裝 SDS 服務並丟失其證書憑據。當 SDS 嘗試重新連接時，MDM 身份驗證層會阻止註冊，因為 SDS 無法提供有效的證書。

此外，如果未在 MDM 叢集節點上正確設定 NTP，系統時鐘可能不正確 （通常顯示 1970-01-01）。MDM 會拒絕使用無效時間戳記產生的憑證，導致憑證頒發失敗事件。這會使憑證無法成功產生，即使在重新啟用認證後亦是如此。

OS 轉換過程不會自動處理 MDM 身份驗證工作流，需要手動干預才能禁用身份驗證、允許重新連接和重新生成證書。

1.開始轉換作業系統之前，請先驗證是否已在所有 PowerFlex MDM 節點上設定 NTP：

chronyc tracking

範例：

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

如果未設定 NTP，請設定 NTP 伺服器並驗證：

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2.驗證 MDM 認證狀態：

scli --query_all | grep -i "MDM connection"

範例：

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3.如果已啟用 MDM 驗證，請先暫時停用 MDM 驗證，然後再繼續進行作業系統轉換：

scli --set_component_authentication_properties --dont_use_authentication

範例：

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4.使用 PFMP 執行作業系統轉換。

5.驗證轉換後 SDS 是否連線。預計時間：SDS 顯示「已連線」狀態：

scli --query_all_sds

6.如有需要，可在成功重新連線 SDS 後重新啟用 MDM 驗證：

scli --set_component_authentication_properties --use_authentication

7.驗證啟用身份驗證的 SDS 是否保持連線。預計時間：SDS 顯示 「已連線」狀態： 

scli --query_all_sds

8.若要重新產生 1 個或所有 SDS 的憑證：

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

受影響的版本

PFMP 4.6.1