Plataforma de administración de PowerFlex: La implementación falla con el mensaje "Problema con el certificado SSL: No se pudo obtener el certificado del emisor"

Situación

• El dispositivo PFxM utiliza un certificado SSL firmado personalizado
• Intento de implementar nuevos nodos HCI solo de almacenamiento
• Intento de expandir un grupo actual de recursos de HCI solo de almacenamiento
• Intento de actualizar un grupo de recursos de HCI de solo almacenamiento actual

En la deployment.log del implementador delgado, se muestra lo siguiente:

ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found.
DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false

Este error apunta al paquete nmon como no disponible. Podría ser cualquier paquete RPM del repositorio.

En el archivo *.out del implementador delgado relacionado con los nodos que fallan, se muestra lo siguiente:

" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'",
" - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':",
"Error code: Curl error 60",
"Error message: SSL certificate problem: unable to get issuer certificate",

El mismo problema se observa cuando se usa curl en los nodos Solo almacenamiento/HCI:

#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt 
% Total  % Received  % Xferd  Average  Speed   Time      Time      Time      Current
                              Dload    Upload  Total     Spent     Left      Speed
0   0    0   0       0   0    0        0       --:--:--  --:--:--  --:--:--  0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

Impacto

Las implementaciones nuevas, las expansiones o las actualizaciones de grupos de recursos no se realizan correctamente.

Cuando reemplaza el certificado de ingreso SSL predeterminado por un certificado SSL personalizado firmado por una CA externa, los nodos no reciben una copia del nuevo certificado de CA. El sistema operativo utiliza este certificado de CA para verificar y validar los certificados SSL firmados. Si el sistema operativo no confía en el nuevo certificado de CA, se rechaza la descarga del repositorio.

Procedimiento:

Para un nodo HCI de solo almacenamiento basado en SLES:

1. Copie el certificado de toda la cadena de CA raíz (formato PEM) en /etc/pki/trust/anchors/
2. Ejecute el comando: update-ca-certificates
    

Para un nodo HCI de solo almacenamiento basado en RHEL:

1. Copie el certificado de toda la cadena de CA raíz (formato PEM) en /etc/pki/ca-trust/source/anchors/
2. Ejecute el comando: update-ca-trust

Cadena de CA raíz completa = CA raíz + CA intermedias (si las hay)
 

Versiones afectadas:

PowerFlex Manager 4.x

Versión fija:

PowerFlex Manager 4.6