Piattaforma di gestione PowerFlex: L'implementazione non riesce con "SSL certificate problem: Impossibile ottenere il certificato dell'autorità di certificazione"

Scenario

• L'appliance PFxM utilizza un certificato SSL con firma personalizzata
• Tentativo di implementare nuovi nodi HCI di solo storage
• Tentativo di espandere un gruppo di risorse HCI di solo storage corrente
• Tentativo di eseguire l'upgrade di un gruppo di risorse HCI di solo storage corrente

Il deployment.log di Thin-deployer mostra quanto segue:

ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found.
DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false

Questo errore punta al pacchetto nmon in quanto non disponibile. Potrebbe trattarsi di qualsiasi pacchetto RPM del repository.

Il file *.out del thin deployer correlato ai nodi in cui si verifica l'errore mostra quanto segue:

" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'",
" - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':",
"Error code: Curl error 60",
"Error message: SSL certificate problem: unable to get issuer certificate",

Lo stesso problema si verifica quando si utilizza curl dai nodi solo storage/HCI:

#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt 
% Total  % Received  % Xferd  Average  Speed   Time      Time      Time      Current
                              Dload    Upload  Total     Spent     Left      Speed
0   0    0   0       0   0    0        0       --:--:--  --:--:--  --:--:--  0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

Impatto

Le nuove distribuzioni e le nuove espansioni o aggiornamenti dei gruppi di risorse non riescono.

Quando si sostituisce il certificato SSL in entrata predefinito con un certificato SSL personalizzato firmato da una CA esterna, i nodi non ricevono una copia del nuovo certificato CA. Il sistema operativo utilizza questo certificato CA per verificare e convalidare i certificati SSL firmati. Se il sistema operativo non considera attendibile il nuovo certificato CA, il download del repository viene rifiutato.

Procedura:

Per un nodo HCI di solo storage basato su SLES:

1. Copiare il certificato dell'intera catena CA radice (formato PEM) in /etc/pki/trust/anchors/
2. Eseguire il comando: update-ca-certificates
    

Per un nodo HCI di solo storage basato su RHEL:

1. Copiare il certificato dell'intera catena CA radice (formato PEM) in /etc/pki/ca-trust/source/anchors/
2. Eseguire il comando: update-ca-trust

Intera catena CA root = CA root + CA intermedie (se presenti)
 

Versioni interessate:

PowerFlex Manager 4.x

Versione fissa:

PowerFlex Manager 4.6