Plataforma de gerenciamento do PowerFlex: Falha na implementação com o erro "SSL certificate problem: Não foi possível obter o certificado do emissor"

Situação

• O equipamento PFxM está usando um certificado SSL assinado sob medida
• Tentando implementar novos nós de HCI somente de armazenamento
• Tentando expandir um grupo de recursos atual de HCI somente armazenamento
• Tentando fazer upgrade de um grupo de recursos de HCI somente armazenamento atual

O deployment.log do thin-deployer mostra o seguinte:

ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found.
DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false

Esse erro está apontando para o pacote nmon como não disponível. Pode ser qualquer pacote RPM do repositório.

O arquivo *.out do thin-deployer relacionado aos nós que estão falhando mostra o seguinte:

" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'",
" - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':",
"Error code: Curl error 60",
"Error message: SSL certificate problem: unable to get issuer certificate",

O mesmo problema ocorre ao usar curl dos nós somente armazenamento/HCI:

#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt 
% Total  % Received  % Xferd  Average  Speed   Time      Time      Time      Current
                              Dload    Upload  Total     Spent     Left      Speed
0   0    0   0       0   0    0        0       --:--:--  --:--:--  --:--:--  0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

Impacto

Novas implantações, expansões ou upgrades de grupos de recursos não são bem-sucedidos.

Quando você substitui o certificado de entrada SSL padrão por um certificado SSL personalizado assinado por uma CA externa, os nós não recebem uma cópia do novo certificado da CA. O sistema operacional usa esse certificado CA para verificar e validar certificados SSL assinados. Se o sistema operacional não confiar no novo certificado CA, o download do repositório será rejeitado.

Procedimento:

Para um nó de HCI somente armazenamento baseado em SLES:

1. Copie todo o certificado da cadeia de CA raiz (formato PEM) para /etc/pki/trust/anchors/
2. Comando de execução: update-ca-certificates
    

Para um nó de HCI somente de armazenamento baseado em RHEL:

1. Copie todo o certificado da cadeia de CA raiz (formato PEM) para /etc/pki/ca-trust/source/anchors/
2. Comando de execução: update-ca-trust

Cadeia de CA raiz inteira = CA raiz + CAs intermediárias (se houver)
 

Versões afetadas:

PowerFlex Manager 4.x

Versão corrigida:

PowerFlex Manager 4.6