PowerFlex Management Platform: Implementatie mislukt met "SSL Certificate Problem: Kan certificaat van uitgever niet krijgen"

Scenario

• PFxM Appliance gebruikt een op maat ondertekend SSL-certificaat
• Nieuwe HCI-knooppunten met alleen storage proberen te implementeren
• Een huidige HCI-brongroep met alleen storage proberen uit te breiden
• Een huidige HCI-brongroep met alleen storage proberen te upgraden

De deployment.log van de thin deployer toont het volgende:

ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found.
DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false

Deze fout wijst naar het pakket nmon als niet beschikbaar. Dit kan elk RPM-pakket uit de repository zijn.

Het *.out-bestand van de thin-deployer met betrekking tot de knooppunten die defect zijn, toont het volgende:

" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'",
" - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':",
"Error code: Curl error 60",
"Error message: SSL certificate problem: unable to get issuer certificate",

Hetzelfde probleem doet zich voor bij het gebruik van curl van de Alleen storage/HCI-knooppunten:

#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt 
% Total  % Received  % Xferd  Average  Speed   Time      Time      Time      Current
                              Dload    Upload  Total     Spent     Left      Speed
0   0    0   0       0   0    0        0       --:--:--  --:--:--  --:--:--  0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

Impact

Nieuwe implementaties en uitbreidingen of upgrades van resourcegroepen zijn niet succesvol.

Wanneer u het standaard SSL-ingangscertificaat vervangt door een aangepast SSL-certificaat dat is ondertekend door een externe CA, ontvangen de knooppunten geen kopie van het nieuwe CA-certificaat. Het besturingssysteem gebruikt dit CA-certificaat om ondertekende SSL-certificaten te verifiëren en te valideren. Als het besturingssysteem het nieuwe CA-certificaat niet vertrouwt, wordt het downloaden van de repository geweigerd.

Procedure:

Voor een op SLES gebaseerd HCI-knooppunt met alleen storage:

1. Kopieer het volledige basiscertificaat van de CA-keten (PEM-indeling) naar /etc/pki/trust/anchors/
2. Voer deze opdracht uit: update-ca-certificates
    

Voor een op RHEL gebaseerd HCI-knooppunt met alleen storage:

1. Kopieer het volledige basiscertificaat van de CA-keten (PEM-indeling) naar /etc/pki/ca-trust/source/anchors/
2. Voer deze opdracht uit: update-ca-trust

Volledige hoofd-CA-keten = hoofd-CA + tussenliggende CA's (indien van toepassing)
 

Versies waarop dit van toepassing is:

PowerFlex Manager 4.x

Vaste versie:

PowerFlex Manager 4.6