PowerScale: ¿Cómo migrar de Secure Remote Support (SRS) a SupportAssist?

Introducción
 

• Los sistemas de conectividad remota en OneFS se utilizan para enviar alertas, log_gathers, inteligencia de uso y estado de dispositivos administrados al back-end de Dell y también permiten la marcación remota por parte de los ingenieros de soporte de Dell al clúster, siempre que el clúster esté configurado para permitir esta función

• ESRS es el sistema de conectividad remota predeterminado en las versiones de OneFS anteriores a v9.5 y es compatible con OneFS 9.5+, pero se espera que se retire pronto.

• A partir de OneFS 9.5, SupportAssist es el sistema de conectividad remota recomendado para transmitir eventos, registros y telemetría desde un clúster PowerScale OneFS al soporte de Dell.

• Existen dos métodos para que SupportAssist se comunique con el back-end de Dell

  • Conexión directa

  • Conexión a través del gateway de conexión segura

• El gateway de conexión segura es la solución de conectividad consolidada de última generación de Dell Technologies Services, que reemplaza a las soluciones de conectividad SupportAssist Enterprise (SAE) y Secure Remote Services (SRS). La tecnología gateway de conexión segura 5.0 se entrega como un dispositivo y una aplicación independiente. El gateway de conexión segura proporciona una única solución para todo el portafolio de Dell EMC que admite servidores, redes, almacenamiento de datos, protección de datos y soluciones hiperconvergentes y convergentes.

¿Qué es SupportAssist?

• SupportAssist integra un activador de servicio integrado (ESE) en OneFS y puede conectarse al soporte de Dell directamente o a través de un gateway de conexión segura (SCG) compatible.
• SupportAssist se utiliza para los siguientes flujos de trabajo:
  • CELOG envía alertas a través del canal de SupportAssist al soporte de Dell.
  • Recopilación y carga de registros
  • Activación de licencia a través del back-end de Dell
  • Recopilación y actualización de datos de telemetría de CloudIQ.
  • Las definiciones de HealthCheck se actualizan mediante SupportAssist.
  • El soporte remoto utiliza SupportAssist y Connectivity Hub para ayudar a los clientes con sus clústeres

Obtención de una clave de acceso y un PIN:

Cuando actualice el clúster, para habilitar SupportAssist, primero debe obtener una clave de acceso y un PIN del soporte de Dell. Para generar la clave de acceso y el PIN, vaya al sitio de claves de acceso del soporte de Dell e ingrese su información. Para obtener instrucciones sobre cómo generar la clave de acceso, vaya a la página Instrucciones para generar una clave de acceso .

Requisitos previos de SupportAssist:

• El clúster de OneFS debe ejecutar OneFS 9.5.0.0 (o posterior) y estar en un estado confirmado. Esto se puede verificar mediante los siguientes comandos:

OneFS9500-1# uname -a
Isilon OneFS OneFS9500-1 9.5.0.3 Isilon OneFS 9.5.0.3 (Patch, Build B_9_5_0_005(RELEASE), 2023-05-08 00:05:53, 0x905005000000005, 9.5.0.3_LTS2023_GA-RUP_PSP-3332) amd64
OneFS9500-1# isi up view

Upgrade Status:

Current Upgrade Activity: No activity
   Cluster Upgrade State: committed
   Upgrade Process State: Not started
      Current OS Version: 9.5.0.0_build(5)style(5)
      Upgrade OS Version: N/A
        Percent Complete: 0%

Nodes Progress:

     Total Cluster Nodes: 3
       Nodes On Older OS: 3
          Nodes Upgraded: 0
Nodes Transitioning/Down: 0

LNN                                                         Version   Status
-------------------------------------------------------------------------------
1-3                                                         9.5.0.0   committed
OneFS9500-1#

• El clúster de OneFS tiene una red IPv4 dedicada.
• La conexión desde SupportAssist se realiza desde un pool de red estático
• Si migra de SRS a SupportAssist, tenga a mano la clave de acceso y el pin del clúster.
• El usuario de ESE debe existir y pertenecer a una función con acceso de lectura y escritura ISI_PRIV_REMOTE_SUPPORT . La salida debe ser similar a la siguiente: 

OneFS9500-1# isi auth users view ese
                    Name: ese
                      DN: -
              DNS Domain: -
                  Domain: UNIX_USERS
                Provider: lsa-file-provider:System
        Sam Account Name: ese
                     UID: 13
                     SID: S-1-22-1-13
                 Enabled: Yes
                 Expired: No
                  Expiry: -
                  Locked: No
                   Email: -
                   GECOS: SupportAssist User
           Generated GID: No
           Generated UID: No
           Generated UPN: Yes
           Primary Group
                          ID: GID:13
                        Name: ese
          Home Directory: /nonexistent
        Max Password Age: -
        Password Expired: No
         Password Expiry: -
       Password Last Set: -
        Password Expires: Yes
              Last Logon: -
                   Shell: /usr/sbin/nologin
                     UPN: ese@UNIX_USERS
User Can Change Password: No
   Disable When Inactive: No
OneFS9500-1# isi auth mapping token ese
                   User
                       Name: ese
                        UID: 13
                        SID: S-1-22-1-13
                    On Disk: 13
                    ZID: 1
                   Zone: System
             Privileges: ISI_PRIV_LOGIN_PAPI
                         ISI_PRIV_REMOTE_SUPPORT
          Primary Group
                       Name: ese
                        GID: 13
                        SID: S-1-22-2-13
                    On Disk: 13
Supplemental Identities
                       Name: Authenticated Users
                        SID: S-1-5-11
OneFS9500-1#

• Si utiliza el gateway de conexión segura, debe usar SCG versión 5.x o posterior. Además, se debe abrir el puerto 9443 entre el clúster y SCG. Ejecute el siguiente comando curl desde un nodo que forme parte del pool de acceso del gateway de SupportAssist para verificar lo siguiente:

Cluster-1# curl -vk https://<IP>:9443
*   Trying <IP>:9443...
* Connected to <IP> (<IP>) port 9443
* ALPN: curl offers http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384
* ALPN: server accepted http/1.1
* Server certificate:
*  subject: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN>
*  start date: Nov 28 13:19:05 2023 GMT
*  expire date: Nov 28 13:19:05 2043 GMT
*  issuer: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN>
*  SSL certificate verify result: unable to get local issuer certificate (20), continuing anyway.
* using HTTP/1.1
> GET / HTTP/1.1
> Host: <IP>:9443
> User-Agent: curl/8.4.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Thu, 06 Jun 2024 11:14:46 GMT
< Server: Apache
< Strict-Transport-Security: max-age=31536000; includeSubDomains;
< X-Frame-Options: sameorigin
< X-XSS-Protection: 1; mode=block
< X-Content-Type-Options: nosniff
< Last-Modified: Tue, 28 Nov 2023 13:19:05 GMT
< ETag: "18-60b3643496985"
< Accept-Ranges: bytes
< Content-Length: 24
< Content-Security-Policy: frame-ancestors 'self'
< Content-Type: text/html
<
<h1>Page Not Found</h1>
* Connection #0 to host <IP> left intact

• Si utiliza una conexión directa, los puertos de red 443 y 8443 se deben enrutar al soporte de Dell.
• SRS está deshabilitado. La habilitación de SupportAssist deshabilita SRS automáticamente.

Visión general de la habilitación de SupportAssist

Para habilitar SupportAssist, debe realizar los siguientes pasos:

1. Elija una o más subredes estáticas o pools para la comunicación saliente.

2. Opcional: Habilite SCG y especifique el nombre de host.

3. Obtenga una clave de acceso y un PIN del portal de soporte de Dell.

4. Conectar y aprovisionar SupportAssist (NOTA: Usuarios de SRS, habilitar SupportAssist en el clúster de OneFS deshabilita permanentemente SRS ) 

Opción 1 : Habilitación de SupportAssist: conéctese directamente al soporte de Dell

Habilite SupportAssist para conectarse directamente al soporte de Dell mediante los siguientes comandos:

• Para elegir una o más subredes estáticas y pools para la comunicación saliente, ingrese el siguiente comando, con el valor de la subred estática y el pool elegidos"

isi supportassist settings modify --network-pools="<subnet0.pool0>"

• El modo de conexión directa es la opción predeterminada. Para habilitar el modo de conexión directa, ingrese el siguiente comando:

isi supportassist settings modify --connection-mode direct

• Si está utilizando una clave de acceso y un PIN para conectarse al soporte de Dell y habilitar SupportAssist, ingrese el siguiente comando en el que y la clave de acceso y el PIN que se le proporcionaron desde el portal de soporte de Dell:

isi supportassist provision start --access-key <key> --pin <pin>

• Si utiliza una clave de hardware para conectarse al soporte de Dell y habilitar SupportAssist, ingrese el siguiente comando:

isi supportassist provision start

• Monitoree el estado de aprovisionamiento mediante el siguiente comando:

isi supportassist provision view -i

Opción 2 : Habilitación de SupportAssist: Gateway de conexión segura
 

Habilite SupportAssist para conectarse a un gateway de conexión segura (SCG) mediante los siguientes comandos:

• Para elegir una o más subredes estáticas y pools para la comunicación saliente, ingrese el siguiente comando, con la subred estática y el pool elegidos:

isi supportassist settings modify --network-pools="<subnet0.pool0>"

• Para habilitar el modo de conexión SCG, ingrese el siguiente comando:

isi supportassist settings modify --connection-mode gateway

• Para apuntar SupportAssist a su SCG, ingrese el siguiente comando, donde está el nombre de host de su SCG

isi supportassist settings modify --gateway-host <hostname> --gateway-port <integer>

• Si está utilizando una clave de acceso y un PIN para conectarse al soporte de Dell y habilitar SupportAssist, ingrese el siguiente comando en el que y la clave de acceso y el PIN que se le proporcionaron desde el portal de soporte de Dell:

isi supportassist provision start --access-key <key> --pin <pin>

• Si utiliza una clave de hardware para conectarse al soporte de Dell y habilitar SupportAssist, ingrese el siguiente comando:

isi supportassist provision start

• Monitoree el estado de aprovisionamiento mediante el siguiente comando:

isi supportassist provision view -i