VCF on VxRail：SDDC Manager 工作负载域升级预检查在步骤“VxRail Manager SSH 连接”时失败

对于 VCF on VxRail 群集

升级到 VxRail 7.0.410 或 7.0.411 版本后，执行新的升级时，SDDC Manager 升级预检查将在 “VxRail Manager SSH 连接” 步骤失败，并显示错误描述 "Auth fail."

查找“mystic”用户无法通过 SSH 连接到 VxRail Manager。

root@sddc-manager-controller [ ~ ]# ssh mystic@<VxM-IP>
FIPS mode initialized
Password:
Account locked due to 7 failed logins

在 vCenter 中使用虚拟机控制台以 root 用户身份登录 VxRail Manager，运行以下命令。

pam_tally2 --user mystic

观察到用户 mystic 由于多次登录失败而被锁定。

对于标准 VxRail 群集

升级到 7.0.410 或 7.0.411 后，可能还会发现“mystic”用户无法通过 SSH 连接到 VxRail Manager，因为它处于锁定状态。

由于 SUSE Linux 问题，VxRail 升级到 7.0.410 或 7.0.411 后，配置文件 /etc/pam.d/common-account 未成功更新。（如果 VxRail 直接部署在 7.0.410 或 7.0.411 上，则不受此问题的影响。）

因此，当通过 mystic 用户建立 从其他虚拟机到 VxRail Manager 虚拟机 的 SSH 连接时，虽然登录成功，但失败的登录计数仍会递增。达到允许的最大失败登录次数后，mystic 用户将被锁定。

注意：直接通过 SSH 连接到 VxRail Manager 不受此问题影响，例如，从笔记本电脑成功通过 SSH 登录到 VxRail Manager 虚拟机不会导致失败登录计数增加。VCF on VxRail 环境更频繁地遇到此问题，因为在升级预检查期间，会建立从 SDDC Manager 虚拟机到 VxRail Manager 虚拟机的 SSH 连接。

此问题已在 VxRail 7.0.450 版本中得到修复，这意味着当 VxRail 已在 7.0.450 上运行，然后执行到更高版本的新升级时，SDDC Manager 升级预检查不会出现此问题。

检查以下列表以确定您的群集是否受此问题的影响：

• VxRail 升级到 7.0.410 或 7.0.411，然后执行到更高版本（包括 7.0.450）的新升级时，SDDC Manager 升级预检查 将出现此问题。
• VxRail 部署在 7.0.410 或 7.0.411（全新版本），然后执行到更高版本的新升级时，SDDC Manager 升级预检查 不会出现此问题。
• VxRail 在低于 7.0.410 的版本上运行，则执行到更高版本的新升级时，SDDC Manager 升级预检查 不会遇到此问题。
• VxRail 在 7.0.450 上运行，则执行到更高版本的新升级时，SDDC Manager 升级预检查 不会遇到此问题。

VCF on VxRail 客户按照下表作，以避免 SDDC Manager 升级预检查遇到此问题：

* 如果您已在全新环境中安装了带有 VxRail 7.0.410 的 VCF 4.5，则可以忽略此知识库文章。仅当您已从任何其他 VxRail 版本升级到 VxRail 7.0.410 时，才请参阅知识库文章。

如果 SDDC Manager 升级预检查已出现此问题，请同时应用这些解决方法步骤。

解决方法步骤：

=================

1.将以下行添加到 /etc/pam.d/common-account 文件。（通过 root 帐户在 vCenter 中使用虚拟机控制台，因为 SSH 连接不起作用）

account    required    pam_tally2.so

2.使用 root 帐户在 VxRail Manager 命令控制台中运行以下命令来解锁 mystic 用户。

pam_tally2 --user mystic --reset

3.解锁 mystic 帐户后，用户应验证它并尝试使用 mystic 凭据建立与 VxRail Manager 的 SSH 会话。
 

4.继续对 SDDC Manager 进行工作负载域升级预检查。

用户可以从以下位置查找 VxRail Manager 的正确密码： SDDC Manager，按如下所示运行 lookup_passwords 命令。
 

root@sddc-manager-controller [ /home/vcf ]# lookup_passwords
Password lookup operation requires ADMIN user credentials. Please refer VMware Cloud Foundation Administration Guide for setting up ADMIN user.
Supported entity types: ESXI VCENTER PSC NSX_MANAGER NSX_CONTROLLER NSXT_MANAGER NSXT_EDGE VRSLCM VRLI VROPS VRA WSA BACKUP VXRAIL_MANAGER AD
Enter an entity type from above list: VXRAIL_MANAGER
Enter page number (optional):
Enter page size (optional, default=50):
Enter Username: administrator@vsphere.local
Enter Password:<password_of_administrator@vsphere.local>
        VXRAIL_MANAGER
        identifiers: 172.16.6.129,app01-vxrm.test.local
        workload: app01-md
                username: mystic
                password: <passord_of_mystic>
                type: SSH
                account type: SYSTEM
        VXRAIL_MANAGER
        identifiers: 172.16.6.129,app01-vxrm.test.local
        workload: app01-md
                username: root
                password: <passord_of_root>
                type: SSH
                account type: SYSTEM