PowerScale: Hoe migreer ik van Secure Remote Support (SRS) naar SupportAssist?

Inleiding
 

• Systemen voor externe connectiviteit op OneFS worden gebruikt voor het verzenden van waarschuwingen, log_gathers, gebruiksinformatie, de status van beheerde apparaten naar de Dell back-end en maken ook extern inbellen door Dell Support-technici naar het cluster toe, op voorwaarde dat het cluster is geconfigureerd om deze functie toe te staan

• ESRS is het standaard externe connectiviteitssysteem in OneFS-versies vóór v9.5 en wordt ondersteund op OneFS 9.5+, maar zal naar verwachting binnenkort buiten gebruik worden gesteld.

• Vanaf OneFS 9.5 is SupportAssist het aanbevolen externe connectiviteitssysteem voor het verzenden van gebeurtenissen, logboeken en telemetrie van een PowerScale OneFS cluster naar Dell Support.

• Er zijn twee manieren waarop SupportAssist kan communiceren met de Dell back-end

  • Directe verbinding

  • Verbinding via gateway voor veilige verbindingen

• Secure Connect Gateway is de geconsolideerde connectiviteitsoplossing van de volgende generatie van Dell Technologies Services, die de connectiviteitsoplossingen SupportAssist Enterprise (SAE) en Secure Remote Services (SRS) vervangt. De gateway voor veilige verbindingen 5.0-technologie wordt geleverd als een apparaat en als afzonderlijke applicatie. De gateway voor veilige verbindingen biedt één oplossing voor het gehele Dell EMC portfolio en ondersteunt servers, netwerken, datastorage, databescherming, hyperconverged en geconvergeerde oplossingen.

Wat is SupportAssist?

• SupportAssist integreert een Embedded Service Enabler (ESE) in OneFS en kan rechtstreeks of via een ondersteunde gateway voor veilige verbindingen (SCG) verbinding maken met Dell Support.
• SupportAssist wordt gebruikt voor de volgende workflows:
  • CELOG stuurt waarschuwingen via het SupportAssist-kanaal naar Dell Support.
  • Logboeken verzamelen en uploaden
  • Licentieactivering via Dell backend
  • CloudIQ Telemetriedata verzamelen en uplaod.
  • HealthCheck-definities worden bijgewerkt met behulp van SupportAssist.
  • Remote Support maakt gebruik van SupportAssist en de Connectivity Hub om klanten te helpen met hun clusters

Een toegangssleutel en pincode verkrijgen:

Wanneer u uw cluster upgradet, moet u eerst een toegangssleutel en pincode verkrijgen van Dell Support om SupportAssist in te schakelen. Om uw toegangssleutel en pincode te genereren, gaat u naar de Dell Support Access Key-site en voert u uw gegevens in. Voor instructies voor het genereren van uw toegangssleutel gaat u naar de pagina Instructies voor het genereren van toegangssleutel .

Vereisten voor SupportAssist:

• Op het OneFS cluster moet OneFS 9.5.0.0 (of hoger) worden uitgevoerd en een vastgelegde status hebben. Dit kan worden geverifieerd met behulp van de onderstaande opdrachten:

OneFS9500-1# uname -a
Isilon OneFS OneFS9500-1 9.5.0.3 Isilon OneFS 9.5.0.3 (Patch, Build B_9_5_0_005(RELEASE), 2023-05-08 00:05:53, 0x905005000000005, 9.5.0.3_LTS2023_GA-RUP_PSP-3332) amd64
OneFS9500-1# isi up view

Upgrade Status:

Current Upgrade Activity: No activity
   Cluster Upgrade State: committed
   Upgrade Process State: Not started
      Current OS Version: 9.5.0.0_build(5)style(5)
      Upgrade OS Version: N/A
        Percent Complete: 0%

Nodes Progress:

     Total Cluster Nodes: 3
       Nodes On Older OS: 3
          Nodes Upgraded: 0
Nodes Transitioning/Down: 0

LNN                                                         Version   Status
-------------------------------------------------------------------------------
1-3                                                         9.5.0.0   committed
OneFS9500-1#

• Het OneFS-cluster heeft een speciaal IPv4-netwerk.
• De verbinding vanuit SupportAssist wordt uitgevoerd vanuit een statische netwerkpool
• Als u migreert van SRS naar SupportAssist, moet u de toegangssleutel en pincode van uw cluster bij de hand hebben.
• ESE-gebruiker moet bestaan en behoort tot een rol met ISI_PRIV_REMOTE_SUPPORT lees- en schrijftoegang. De uitvoer moet vergelijkbaar zijn met het onderstaande: 

OneFS9500-1# isi auth users view ese
                    Name: ese
                      DN: -
              DNS Domain: -
                  Domain: UNIX_USERS
                Provider: lsa-file-provider:System
        Sam Account Name: ese
                     UID: 13
                     SID: S-1-22-1-13
                 Enabled: Yes
                 Expired: No
                  Expiry: -
                  Locked: No
                   Email: -
                   GECOS: SupportAssist User
           Generated GID: No
           Generated UID: No
           Generated UPN: Yes
           Primary Group
                          ID: GID:13
                        Name: ese
          Home Directory: /nonexistent
        Max Password Age: -
        Password Expired: No
         Password Expiry: -
       Password Last Set: -
        Password Expires: Yes
              Last Logon: -
                   Shell: /usr/sbin/nologin
                     UPN: ese@UNIX_USERS
User Can Change Password: No
   Disable When Inactive: No
OneFS9500-1# isi auth mapping token ese
                   User
                       Name: ese
                        UID: 13
                        SID: S-1-22-1-13
                    On Disk: 13
                    ZID: 1
                   Zone: System
             Privileges: ISI_PRIV_LOGIN_PAPI
                         ISI_PRIV_REMOTE_SUPPORT
          Primary Group
                       Name: ese
                        GID: 13
                        SID: S-1-22-2-13
                    On Disk: 13
Supplemental Identities
                       Name: Authenticated Users
                        SID: S-1-5-11
OneFS9500-1#

• Als u Secure Connect Gateway gebruikt, moet u SCG versie 5.x of hoger gebruiken. Ook moet poort 9443 worden geopend tussen het cluster en SCG. Voer de onderstaande curl-opdracht uit vanaf een knooppunt dat deel uitmaakt van de toegangspool van de SupportAssist gateway om het volgende te controleren:

Cluster-1# curl -vk https://<IP>:9443
*   Trying <IP>:9443...
* Connected to <IP> (<IP>) port 9443
* ALPN: curl offers http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384
* ALPN: server accepted http/1.1
* Server certificate:
*  subject: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN>
*  start date: Nov 28 13:19:05 2023 GMT
*  expire date: Nov 28 13:19:05 2043 GMT
*  issuer: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN>
*  SSL certificate verify result: unable to get local issuer certificate (20), continuing anyway.
* using HTTP/1.1
> GET / HTTP/1.1
> Host: <IP>:9443
> User-Agent: curl/8.4.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Thu, 06 Jun 2024 11:14:46 GMT
< Server: Apache
< Strict-Transport-Security: max-age=31536000; includeSubDomains;
< X-Frame-Options: sameorigin
< X-XSS-Protection: 1; mode=block
< X-Content-Type-Options: nosniff
< Last-Modified: Tue, 28 Nov 2023 13:19:05 GMT
< ETag: "18-60b3643496985"
< Accept-Ranges: bytes
< Content-Length: 24
< Content-Security-Policy: frame-ancestors 'self'
< Content-Type: text/html
<
<h1>Page Not Found</h1>
* Connection #0 to host <IP> left intact

• Als u directe verbinding gebruikt, moeten netwerkpoort 443 en 8443 worden doorgestuurd naar Dell Support.
• SRS is uitgeschakeld. Als u SupportAssist inschakelt, wordt SRS automatisch uitgeschakeld.

Overzicht SupportAssist inschakelen

U moet de volgende stappen uitvoeren om SupportAssist in te schakelen:

1. Kies een of meer statische subnetten of groepen voor uitgaande communicatie.

2. Facultatief: Schakel SCG in en geef de hostnaam op.

3. Vraag een toegangssleutel en pincode aan op de Dell Support portal.

4. SupportAssist verbinden en inrichten ( OPMERKING: SRS-gebruikers, als u SupportAssist op uw OneFS cluster inschakelt, wordt SRS permanent uitgeschakeld) 

Optie 1 : SupportAssist inschakelen - maak rechtstreeks verbinding met Dell Support

Schakel SupportAssist in om rechtstreeks verbinding te maken met Dell Support door de volgende opdrachten uit te voeren:

• Als u een of meer statische subnetten en groepen voor uitgaande communicatie wilt kiezen, voert u de volgende opdracht in: "Waar is het gekozen statische subnet en pool"

isi supportassist settings modify --network-pools="<subnet0.pool0>"

• De modus voor directe verbinding is de standaardoptie. Om de modus voor directe verbinding in te schakelen, voert u de volgende opdracht in:

isi supportassist settings modify --connection-mode direct

• Als u een toegangssleutel en pincode gebruikt om verbinding te maken met Dell Support en SupportAssist in te schakelen, voert u de volgende opdracht in, waarbij en de toegangssleutel en pincode die u van de Dell Support portal hebt gekregen:

isi supportassist provision start --access-key <key> --pin <pin>

• Als u een hardwaresleutel gebruikt, voert u de volgende opdracht in om verbinding te maken met Dell Support en SupportAssist in te schakelen:

isi supportassist provision start

• Controleer de provisioningstatus met de onderstaande opdracht

isi supportassist provision view -i

Optie 2 : SupportAssist inschakelen - Secure Connect Gateway
 

Schakel SupportAssist in om verbinding te maken met een Secure Connect Gateway (SCG) door de volgende opdrachten uit te voeren:

• Als u een of meer statische subnetten en groepen voor uitgaande communicatie wilt kiezen, voert u de volgende opdracht in, waarbij het gekozen statische subnet en de pool zijn:

isi supportassist settings modify --network-pools="<subnet0.pool0>"

• Als u de SCG-verbindingsmodus wilt inschakelen, voert u de volgende opdracht in:

isi supportassist settings modify --connection-mode gateway

• Als u SupportAssist naar uw SCG wilt verwijzen, voert u de volgende opdracht in, waarbij de hostnaam van uw SCG is

isi supportassist settings modify --gateway-host <hostname> --gateway-port <integer>

• Als u een toegangssleutel en pincode gebruikt om verbinding te maken met Dell Support en SupportAssist in te schakelen, voert u de volgende opdracht in, waarbij en de toegangssleutel en pincode die u van de Dell Support portal hebt gekregen:

isi supportassist provision start --access-key <key> --pin <pin>

• Als u een hardwaresleutel gebruikt, voert u de volgende opdracht in om verbinding te maken met Dell Support en SupportAssist in te schakelen:

isi supportassist provision start

• Controleer de provisioningstatus met de onderstaande opdracht

isi supportassist provision view -i