PowerScale: Come eseguire la migrazione da Secure Remote Support (SRS) a SupportAssist?

Introduzione
 

• I sistemi di connettività remota su OneFS vengono utilizzati per l'invio di avvisi, log_gathers, Usage Intelligence e stato dei dispositivi gestiti al back-end Dell e consentono anche l'accesso remoto da parte dei tecnici del supporto Dell al cluster, a condizione che il cluster sia configurato per consentire questa funzione

• ESRS è il sistema di connettività remota predefinito nelle versioni di OneFS precedenti alla v9.5 ed è supportato in OneFS 9.5+, ma verrà disattivato a breve.

• A partire da OneFS 9.5 , SupportAssist è il sistema di connettività remota consigliato per la trasmissione di eventi, registri e dati di telemetria da un cluster PowerScale OneFS al supporto Dell.

• Esistono due metodi per consentire a SupportAssist di comunicare con il back-end Dell

  • Connessione diretta

  • Connessione tramite gateway con connessione sicura

• Il gateway con connessione sicura è la soluzione di connettività consolidata di nuova generazione di Dell Technologies Services, che sostituisce le soluzioni di connettività SupportAssist Enterprise (SAE) e Secure Remote Services (SRS). La tecnologia Gateway con connessione sicura 5.0 viene fornita come appliance e applicazione standalone. Il gateway con connessione sicura offre un'unica soluzione per l'intero portafoglio Dell EMC che supporta server, rete, storage dei dati, protezione dei dati, soluzioni convergenti e hyper-converged.

Cos'è SupportAssist?

• SupportAssist integra un Embedded Service Enabler (ESE) in OneFS e può connettersi al supporto Dell direttamente o tramite un gateway con connessione sicura (SCG) supportato.
• SupportAssist viene utilizzato per i seguenti flussi di lavoro:
  • CELOG invia avvisi al supporto Dell tramite il canale SupportAssist.
  • Raccolta e upload dei registri
  • Attivazione della licenza tramite il back-end Dell
  • Raccolta e aggiornamento dei dati di telemetria CloudIQ.
  • Le definizioni di HealthCheck vengono aggiornate utilizzando SupportAssist.
  • Supporto remoto utilizza SupportAssist e Connectivity Hub per assistere i clienti con i loro cluster

Acquisizione di una chiave di accesso e di un PIN:

Quando si aggiorna il cluster, per abilitare SupportAssist, è necessario prima ottenere una chiave di accesso e un PIN dal supporto Dell. Per generare la chiave di accesso e il PIN, accedere al sito della chiave di accesso del supporto Dell e inserire le informazioni. Per istruzioni sulla generazione della chiave di accesso, accedere alla pagina relativa alle istruzioni per la generazione della chiave di accesso .

Prerequisiti di SupportAssist:

• Il cluster OneFS deve eseguire OneFS 9.5.0.0 (o versione successiva) e avere uno stato di commit. Ciò può essere verificato utilizzando i seguenti comandi:

OneFS9500-1# uname -a
Isilon OneFS OneFS9500-1 9.5.0.3 Isilon OneFS 9.5.0.3 (Patch, Build B_9_5_0_005(RELEASE), 2023-05-08 00:05:53, 0x905005000000005, 9.5.0.3_LTS2023_GA-RUP_PSP-3332) amd64
OneFS9500-1# isi up view

Upgrade Status:

Current Upgrade Activity: No activity
   Cluster Upgrade State: committed
   Upgrade Process State: Not started
      Current OS Version: 9.5.0.0_build(5)style(5)
      Upgrade OS Version: N/A
        Percent Complete: 0%

Nodes Progress:

     Total Cluster Nodes: 3
       Nodes On Older OS: 3
          Nodes Upgraded: 0
Nodes Transitioning/Down: 0

LNN                                                         Version   Status
-------------------------------------------------------------------------------
1-3                                                         9.5.0.0   committed
OneFS9500-1#

• Il cluster OneFS dispone di una rete IPv4 dedicata.
• La connessione da SupportAssist viene eseguita da un pool di rete statico
• Se si esegue la migrazione da SRS a SupportAssist, assicurarsi di disporre della chiave di accesso e del pin del cluster.
• L'utente ESE deve esistere e appartenere a un ruolo con accesso in lettura e scrittura ISI_PRIV_REMOTE_SUPPORT . L'output dovrebbe essere simile al seguente: 

OneFS9500-1# isi auth users view ese
                    Name: ese
                      DN: -
              DNS Domain: -
                  Domain: UNIX_USERS
                Provider: lsa-file-provider:System
        Sam Account Name: ese
                     UID: 13
                     SID: S-1-22-1-13
                 Enabled: Yes
                 Expired: No
                  Expiry: -
                  Locked: No
                   Email: -
                   GECOS: SupportAssist User
           Generated GID: No
           Generated UID: No
           Generated UPN: Yes
           Primary Group
                          ID: GID:13
                        Name: ese
          Home Directory: /nonexistent
        Max Password Age: -
        Password Expired: No
         Password Expiry: -
       Password Last Set: -
        Password Expires: Yes
              Last Logon: -
                   Shell: /usr/sbin/nologin
                     UPN: ese@UNIX_USERS
User Can Change Password: No
   Disable When Inactive: No
OneFS9500-1# isi auth mapping token ese
                   User
                       Name: ese
                        UID: 13
                        SID: S-1-22-1-13
                    On Disk: 13
                    ZID: 1
                   Zone: System
             Privileges: ISI_PRIV_LOGIN_PAPI
                         ISI_PRIV_REMOTE_SUPPORT
          Primary Group
                       Name: ese
                        GID: 13
                        SID: S-1-22-2-13
                    On Disk: 13
Supplemental Identities
                       Name: Authenticated Users
                        SID: S-1-5-11
OneFS9500-1#

• Se si utilizza Gateway con connessione sicura, è necessario utilizzare SCG versione 5.x o successiva. Inoltre, la porta 9443 deve essere aperta tra il cluster e SCG. Eseguire il comando curl riportato di seguito da un nodo che fa parte del pool di accesso al gateway SupportAssist per verificare:

Cluster-1# curl -vk https://<IP>:9443
*   Trying <IP>:9443...
* Connected to <IP> (<IP>) port 9443
* ALPN: curl offers http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384
* ALPN: server accepted http/1.1
* Server certificate:
*  subject: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN>
*  start date: Nov 28 13:19:05 2023 GMT
*  expire date: Nov 28 13:19:05 2043 GMT
*  issuer: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN>
*  SSL certificate verify result: unable to get local issuer certificate (20), continuing anyway.
* using HTTP/1.1
> GET / HTTP/1.1
> Host: <IP>:9443
> User-Agent: curl/8.4.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Thu, 06 Jun 2024 11:14:46 GMT
< Server: Apache
< Strict-Transport-Security: max-age=31536000; includeSubDomains;
< X-Frame-Options: sameorigin
< X-XSS-Protection: 1; mode=block
< X-Content-Type-Options: nosniff
< Last-Modified: Tue, 28 Nov 2023 13:19:05 GMT
< ETag: "18-60b3643496985"
< Accept-Ranges: bytes
< Content-Length: 24
< Content-Security-Policy: frame-ancestors 'self'
< Content-Type: text/html
<
<h1>Page Not Found</h1>
* Connection #0 to host <IP> left intact

• Se si utilizza la connessione diretta, le porte di rete 443 e 8443 devono essere instradate al supporto Dell.
• SRS è disabilitato. L'abilitazione di SupportAssist disattiva automaticamente SRS.

Panoramica sull'abilitazione di SupportAssist

Per attivare SupportAssist, è necessario effettuare le seguenti operazioni:

1. Scegliere una o più subnet o pool statici per la comunicazione in uscita.

2. Opzionale: Abilitare SCG e specificare il nome host.

3. Ottenere una chiave di accesso e un pin dal portale del supporto Dell.

4. Connessione ed esecuzione del provisioning di SupportAssist (NOTA: Utenti SRS, l'abilitazione di SupportAssist sul cluster OneFS disabilita SRS in modo permanente 

Opzione 1 : Abilitazione di SupportAssist: connessione diretta al supporto Dell

Consentire a SupportAssist di connettersi direttamente al supporto Dell eseguendo i seguenti comandi:

• Per scegliere una o più subnet e pool statici per la comunicazione in uscita, immettere il seguente comando dove è la subnet statica e il pool scelti"

isi supportassist settings modify --network-pools="<subnet0.pool0>"

• La modalità di connessione diretta è l'opzione predefinita. Per abilitare la modalità di connessione diretta, inserire il seguente comando:

isi supportassist settings modify --connection-mode direct

• Se si utilizzano una chiave di accesso e un pin, per connettersi al supporto Dell e abilitare SupportAssist, immettere il seguente comando dove e sono la chiave di accesso e il PIN forniti dal portale del supporto Dell:

isi supportassist provision start --access-key <key> --pin <pin>

• Se si utilizza una chiave hardware, per connettersi al supporto Dell e abilitare SupportAssist, immettere il seguente comando:

isi supportassist provision start

• Monitorare lo stato del provisioning utilizzando il comando riportato di seguito

isi supportassist provision view -i

Opzione 2 : Abilitazione di SupportAssist - Gateway con connessione sicura
 

Abilitare SupportAssist per connettersi a un gateway con connessione sicura (SCG) eseguendo i seguenti comandi:

• Per scegliere una o più subnet e pool statici per la comunicazione in uscita, inserire il seguente comando in cui si trova la subnet e il pool statici scelti:

isi supportassist settings modify --network-pools="<subnet0.pool0>"

• Per abilitare la modalità di connessione SCG, inserire il seguente comando:

isi supportassist settings modify --connection-mode gateway

• Per puntare SupportAssist al Gateway con connessione sicura, immettere il seguente comando, dove è il nome host del Gateway con connessione sicura.

isi supportassist settings modify --gateway-host <hostname> --gateway-port <integer>

• Se si utilizzano una chiave di accesso e un pin, per connettersi al supporto Dell e abilitare SupportAssist, immettere il seguente comando dove e sono la chiave di accesso e il PIN forniti dal portale del supporto Dell:

isi supportassist provision start --access-key <key> --pin <pin>

• Se si utilizza una chiave hardware, per connettersi al supporto Dell e abilitare SupportAssist, immettere il seguente comando:

isi supportassist provision start

• Monitorare lo stato del provisioning utilizzando il comando riportato di seguito

isi supportassist provision view -i