PowerFlex：启用 MDM 身份验证时，SVM 操作系统转换失败SDS_AUTHENTICATION_FAILED

• SVM 操作系统转换完成，但 SDS 服务无法重新连接到群集。
• 查询 SDS 命令的输出 显示列出的 SVM，但其状态为 Disconnected。
• MDM 事件日志显示SDS_RECONNECTED紧跟SDS_AUTHENTICATION_FAILED并显示错误：“加载身份验证密钥对失败”：

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• MDM 身份验证已显式启用（不是默认配置）： 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• MDM 系统时钟可能会显示不正确的时间（例如，1970-01-01），指示缺少 NTP 配置。
• Chronyc 跟踪报告“离线”或未显示有效的 NTP 源。

影响

• 启用 MDM 身份验证时，无法完成操作系统转换。
• 转换后的 SDS 节点保持离线状态，无法重新加入群集。
• 由于缺少 SDS 容量，存储池可能会变为 DEGRADED。

重要提示：默认情况下，MDM 身份验证在 PowerFlex 中处于禁用状态。此问题仅影响已明确启用身份验证以增强安全性的环境。

启用 MDM 身份验证后，SDS 服务需要有效的证书才能与 MDM 通信。在操作系统转换期间，SDS 服务会重新安装并丢失其证书凭据。当 SDS 尝试重新连接时，MDM 身份验证层会阻止注册，因为 SDS 无法提供有效的证书。

此外，如果未在 MDM 群集节点上正确配置 NTP，则系统时钟可能不正确（通常显示为 1970-01-01）。使用无效时间戳生成的证书会被 MDM 拒绝，从而导致证书颁发失败事件。这样会阻止成功生成证书，即使在重新启用身份验证后也是如此。

操作系统转换过程不会自动处理 MDM 身份验证工作流，需要手动干预以禁用身份验证、允许重新连接和重新生成证书。

1.在开始操作系统转换之前，请验证是否已在所有 PowerFlex MDM 节点上配置 NTP：

chronyc tracking

示例：

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

如果未配置 NTP，请配置 NTP 服务器并验证：

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2.验证 MDM 身份验证状态：

scli --query_all | grep -i "MDM connection"

示例：

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3.如果启用了 MDM 身份验证，请先暂时禁用 MDM 身份验证，然后再继续进行操作系统转换：

scli --set_component_authentication_properties --dont_use_authentication

示例：

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4.使用 PFMP 执行操作系统转换。

5.验证 SDS 在转换后是否联机。预期：SDS 显示 Connected 状态：

scli --query_all_sds

6.如果需要，在成功重新连接 SDS 后重新启用 MDM 身份验证：

scli --set_component_authentication_properties --use_authentication

7.验证 SDS 是否在启用身份验证的情况下保持联机状态。预期：SDS 显示 Connected 状态： 

scli --query_all_sds

8.要为 1 个或所有 SDS 重新生成证书，请执行以下操作：

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

受影响的版本

PFMP 4.6.1