VxRail 上的 VCF：SDDC Manager 工作負載網域升級預先檢查在步驟「VxRail Manager SSH connection」失敗

對於 VxRail 叢集上的 VCF

升級至 VxRail 7.0.410 或 7.0.411 版本後，再執行新的升級，SDDC Manager 升級預先檢查會在步驟 「VxRail Manager SSH 連線」 失敗，並傳回錯誤說明 "Auth fail."

尋找「mystic」使用者無法透過 SSH 連線至 VxRail Manager。

root@sddc-manager-controller [ ~ ]# ssh mystic@<VxM-IP>
FIPS mode initialized
Password:
Account locked due to 7 failed logins

使用 vCenter 中的 VM 主控台，以根使用者身分登入 VxRail Manager 執行下列命令。

pam_tally2 --user mystic

觀察到由於多次登入失敗，使用者 Mystic 已被鎖定。

針對標準 VxRail 叢集

升級至 7.0.410 或 7.0.411 後，可能還會發現「mystic」使用者無法透過 SSH 連線至 VxRail Manager，因為它已鎖定。

由於 SUSE Linux 問題，在 VxRail 升級至 7.0.410 或 7.0.411 後，組態檔案 /etc/pam.d/common-account 未成功更新。（如果 VxRail 直接部署在 7.0.410 或 7.0.411，則不會受到此問題影響。）

因此，當透過 mystic 使用者 從其他 VM 建立至 VxRail Manager VM 的 SSH 連線時，雖然登入成功，但失敗的登入計數仍會增加。在達到允許的最大失敗登入計數後，Mystic 使用者將被鎖定。

注意：直接 SSH 至 VxRail Manager 不受此問題影響，例如，從您的筆記型電腦透過 SSH 成功登入 VxRail Manager VM 並不會導致失敗的登入計數增加。VxRail 環境中的 VCF 更常發生此問題，因為在升級預先檢查期間，已經建立從 SDDC Manager VM 到 VxRail Manager VM 的 SSH 連線。

此問題已在 VxRail 7.0.450 版本中修正，表示當 VxRail 已在 7.0.450 上執行，然後執行新的升級至更高版本時，SDDC Manager 升級預先檢查將不會發生此問題。

請查看以下清單，判斷您的叢集是否受到此問題影響：

• VxRail 已升級至 7.0.410 或 7.0.411，然後執行新升級至更高版本 （包括 7.0.450），SDDC Manager 升級預先檢查 將發生此問題。
• VxRail 部署在 7.0.410 或 7.0.411 （綠色區域），然後執行新升級至更高版本時，SDDC Manager 升級預先檢查 將不會發生此問題。
• VxRail 在 7.0.410 版之前的版本上執行，然後執行新的升級至更高版本時，SDDC Manager 升級預先檢查 將不會發生此問題。
• VxRail 正在 7.0.450 上執行，然後執行新的升級至更高版本，SDDC Manager 升級預先檢查 將不會發生此問題。

VxRail 上的 VCF 客戶會遵循下表，以避免發生此問題 SDDC Manager 升級前置檢查：

* 如果您已在綠地安裝 VCF 4.5 搭配 VxRail 7.0.410，您可以忽略此 KB。只有在您已從任何其他 VxRail 版本升級至 VxRail 7.0.410 時，才參閱 KB。

如果 SDDC Manager 升級預先檢查已發生此問題，請同時套用這些因應措施步驟。

因應措施步驟：

=================

1.將以下行新增到 /etc/pam.d/common-account 檔案中的其他項目。（使用 vCenter 中的虛擬機器主控台與根帳戶，因為 SSH 連線無法運作）

account    required    pam_tally2.so

2.使用 root 帳戶在 VxRail Manager 命令主控台中執行下列命令，以解除鎖定 mystic 使用者。

pam_tally2 --user mystic --reset

3.一旦 mystic 帳戶解除鎖定，使用者應進行驗證，並嘗試使用 mystic 登入資料建立連接至 VxRail Manager 的 SSH 工作階段。
 

4.繼續進行 SDDC Manager 上的工作負載網域升級預先檢查。

使用者可從 執行 lookup_passwords 命令的 SDDC 管理員，如下所示。
 

root@sddc-manager-controller [ /home/vcf ]# lookup_passwords
Password lookup operation requires ADMIN user credentials. Please refer VMware Cloud Foundation Administration Guide for setting up ADMIN user.
Supported entity types: ESXI VCENTER PSC NSX_MANAGER NSX_CONTROLLER NSXT_MANAGER NSXT_EDGE VRSLCM VRLI VROPS VRA WSA BACKUP VXRAIL_MANAGER AD
Enter an entity type from above list: VXRAIL_MANAGER
Enter page number (optional):
Enter page size (optional, default=50):
Enter Username: administrator@vsphere.local
Enter Password:<password_of_administrator@vsphere.local>
        VXRAIL_MANAGER
        identifiers: 172.16.6.129,app01-vxrm.test.local
        workload: app01-md
                username: mystic
                password: <passord_of_mystic>
                type: SSH
                account type: SYSTEM
        VXRAIL_MANAGER
        identifiers: 172.16.6.129,app01-vxrm.test.local
        workload: app01-md
                username: root
                password: <passord_of_root>
                type: SSH
                account type: SYSTEM