CloudPools-tilin luonti epäonnistui tai CloudPools-tiliin ei saada yhteyttä viestillä: clapi-virhe: CL_SSL_CACERT
Summary: CloudPools-tilin luonti epäonnistui ja tuloksena on cert-virhe.
Symptoms
CloudPools-tilin luominen saa seuraavan virheen:
Account Create Failed. The CloudPools account did not create due to the following error: Account validation failed to connect to remote server: clapi error: CL_SSL_CACERT; Peer certificate cannot be authenticated with known CA certificates.
Sama virhe ilmenee myös OneFS 8.2 -päivityksen jälkeen, kun tarkastellaan olemassa olevia CloudPools-tilejä.
Cause
CloudPools-tilin luonti epäonnistuu ja näyttää tämän virheen, jos päävarmenteita ei ole asennettu oikein. Sama koskee itse allekirjoitettuja välivarmenteita
Jos päivität OneFs 8.2 -versioon, tämä tapahtuu, kun staattinen varmenneluettelo siirretään uuteen kauppaan. Tämä säilö ei sisällä järjestelmään asennettuja varmenteita (kuten ECS-varmennetta) CloudPools-järjestelmiä varten, eivätkä ne kuulu tähän luetteloon.
Resolution
Korjaa ongelma seuraavasti.
-
Suorita seuraava komento varmenteiden luettelon tyhjentämiseksi CloudPools-palvelimesta tekstitiedostoon:
openssl s_client -connect <cloudpool_server>:443 -showcerts -certform PEM > cert.txt
-
Vuodesta cert.txt alkaen tarvittavat varmenteen osat ovat rivien välissä, jotka alkavat sanoilla:
-----BEGIN CERTIFICATE----- AND -----END CERTIFICATE----- -
Kopioi viimeinen varmenne, koska sen pitäisi olla allekirjoittajan ROOT CA -varmenne. Kopioi ja liitä kaikki -----BEGIN CERTIFICATE----- -----END CERTIFICATE----- uuteen tiedostoon nimeltä /ifs/.ifsvar/modules/cloud/cacert/<some_cloudpools_root_cert.pem>.
-
Vaihda hakemistoksi varmenteen sijainti.
cd /ifs/.ifsvar/modules/cloud/cacert
-
Laske varmennetiedoston hajautusarvo komennolla
openssl x509 -hash -noout -in <some_cloudpools_root_cert>.pem
-
Luo symbolinen linkki varmenteeseen käyttämällä hajautusarvokomennon tulosta:
ln -s <some_cloudpools_root_cert>.pem <hash_value>.suffix
Huomautus:<Jälkiliite> alkaa muodossa 0. Jos olemassa olevan symlink-tiedoston nimi on törmäys, käytä seuraavaa numeroa päätteenä. -
Käy läpi CloudPools-tili ja luo prosessi uudelleen.
Jos versio on OneFs 8.2 tai uudempi, jatka seuraaviin vaiheisiin:
-
Suorita varmenteen tuontikomento, kun seisot polulla /ifs/.ifsvar/modules/cloud/cacert.
Esimerkki:
# ls -lh 94d536c0.0 lrwxr-xr-x 1 root wheel 39B Jun 3 10:35 94d536c0.0 -> cert_cloud account.pem # isi certificate authority import --certificate-path=cert_account-URI.pem --description="ECS CA" --name=ecs_cert
-
Etsi ecs_cert , joka on lisätty myöntäjäluetteloon komennolla:
#isi certificate authority list
-
Käynnistä isi_cpool_d palvelu uudelleen seuraavalla komennolla:
# isi services -a isi_cpool_d disable
Odota 30 sekuntia ja suorita komento:
# isi services -a isi_cpool_d enable
-
Varmista komennolla, että pilvitili on tavoitettavissa ja että tila on kunnossa:
# isi cloud accounts view <account-name>
Additional Information
Jos järjestelmänvalvoja ottaa SSL-varmenteen vahvistuksen käyttöön joko luodessaan tilin tai vaihtaessaan tämän vaihtoehdon "ohita" -vaihtoehdosta "ei ohita" -tilaan, palvelimilla on oltava oikein asennetut päävarmenteet. Muutoin CloudPools ei pysty muodostamaan yhteyttä pilvipalveluntarjoajiin ja syntyy SSL_CACERT_ERROR.
Kun tili on määritetty suorittamaan SSL-varmenteen vahvistus, vahvistus suoritetaan aina, kun CloudPools muodostaa yhteyden kyseisen tilin pilvipalveluntarjoajaan ja vahvistus voi epäonnistua. Tällöin luodaan 1100000009 CPOOL_CERTIFICATE_ERROR kaltainen klusteritapahtumalokitapahtuma.
Jos tallennuspalvelun tarjoaja on asentanut itse allekirjoitetun varmenteen, sen pitäisi näkyä myös varmenneketjussa, kun muodostat yhteyden palvelimeen. Etsi itse allekirjoitettu varmenne, sillä se on palvelimen todentamiseen käytettävä päävarmenne.
Vain päävarmenteet on esiasennettava CloudPools-klusteriin. Jos sivusto ottaa käyttöön SSL-välityspalvelimen, voi olla tarpeen hankkia ja asentaa myös välivarmenteet.
Jos päävarmenteen kopio on muussa kuin PEM-koodatussa muodossa, tee PEM-muunnos OpenSSL-komennoilla ennen sen asentamista.