PowerFlex-hanteringsplattform: Distributionen misslyckas med "SSL-certifikatproblem: Det går inte att hämta utfärdarcertifikat"

Scenario

• PFxM-enheten använder ett anpassat signerat SSL-certifikat
• Försöker distribuera nya HCI-noder för endast lagring
• Försöker utöka en aktuell HCI-resursgrupp för endast lagring
• Försöker uppgradera en aktuell HCI-resursgrupp för endast lagring

Den tunna distributionsenhetens deployment.log visar följande:

ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found.
DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false

Det här felet pekar på paketet nmon eftersom det inte finns tillgängligt. Det kan vara vilket RPM-paket som helst från lagringsplatsen.

Den tunna distribuerarens *.out-fil som är relaterad till de noder som inte fungerar visar följande:

" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'",
" - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':",
"Error code: Curl error 60",
"Error message: SSL certificate problem: unable to get issuer certificate",

Samma problem uppstår när du använder curl från noderna Endast lagring/HCI:

#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt 
% Total  % Received  % Xferd  Average  Speed   Time      Time      Time      Current
                              Dload    Upload  Total     Spent     Left      Speed
0   0    0   0       0   0    0        0       --:--:--  --:--:--  --:--:--  0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

Påverkan

Nya distributioner och utökningar eller uppgraderingar av resursgrupper lyckas inte.

När du ersätter standardcertifikatet för SSL-ingress med ett anpassat SSL-certifikat som signerats av en extern certifikatutfärdare får noderna ingen kopia av det nya certifikatutfärdarcertifikatet. Operativsystemet använder det här CA-certifikatet för att verifiera och validera signerade SSL-certifikat. Om operativsystemet inte litar på det nya CA-certifikatet avvisas hämtningen av lagringsplatsen.

Procedur:

För en SLES-baserad HCI-nod för endast lagring:

1. Kopiera hela rotcertifikatutfärdarkedjans certifikat (PEM-format) till /etc/pki/trust/anchors/
2. Kör kommandot: update-ca-certificates
    

För en RHEL-baserad HCI-nod för endast lagring:

1. Kopiera hela rotcertifikatutfärdarkedjans certifikat (PEM-format) till /etc/pki/ca-trust/source/anchors/
2. Kör kommandot: update-ca-trust

Hela rotcertifikatutfärdarkedjan = rotcertifikatutfärdare + mellanliggande certifikatutfärdare (om sådana finns)
 

Berörda versioner:

PowerFlex Manager 4.x

Fast version:

PowerFlex Manager 4.6