PowerFlex Management Platform: Implementeringen mislykkes med SSL-sertifikatproblem: Får ikke utstedersertifikat"

Scenario

• PFxM Appliance bruker et spesialsignert SSL-sertifikat
• Prøver å implementere nye HCI-noder kun for lagring
• Prøver å utvide en gjeldende HCI-ressursgruppe kun for lagring
• Prøver å oppgradere en gjeldende HCI-ressursgruppe kun for lagring

Tynn-deployerens deployment.log viser følgende:

ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found.
DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false

Denne feilen peker til pakken nmon som ikke tilgjengelig. Det kan være en hvilken som helst RPM-pakke fra depotet.

Thin-deployers *.out-fil relatert til nodene som svikter, viser følgende:

" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'",
" - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':",
"Error code: Curl error 60",
"Error message: SSL certificate problem: unable to get issuer certificate",

Det samme problemet oppstår når du bruker curl fra Bare lagring/HCI-noder:

#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt 
% Total  % Received  % Xferd  Average  Speed   Time      Time      Time      Current
                              Dload    Upload  Total     Spent     Left      Speed
0   0    0   0       0   0    0        0       --:--:--  --:--:--  --:--:--  0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

Innvirkning

Nye distribusjoner og utvidelser eller oppgraderinger av ressursgrupper er ikke vellykket.

Når du erstatter standard SSL-inngangssertifikat med et egendefinert SSL-sertifikat signert av en ekstern sertifiseringsinstans, mottar ikke nodene en kopi av det nye CA-sertifikatet. Operativsystemet bruker dette CA-sertifikatet til å verifisere og validere signerte SSL-sertifikater. Hvis operativsystemet ikke stoler på det nye CA-sertifikatet, avvises nedlastingen av repositoriet.

Fremgangsmåte:

For en SLES-basert HCI-node kun for lagring:

1. Kopier hele CA-rotkjedesertifikatet (PEM-format) til /etc/pki/trust/anchors/
2. Kjør følgende kommando: update-ca-certificates
    

For en RHEL-basert HCI-node kun for lagring:

1. Kopier hele CA-rotkjedesertifikatet (PEM-format) til /etc/pki/ca-trust/source/anchors/
2. Kjør følgende kommando: update-ca-trust

Hele CA-rotkjeden = CA-rot + mellomliggende CA-er (hvis noen)
 

Berørte versjoner:

PowerFlex Manager 4.x

Fast versjon:

PowerFlex Manager 4.6