PowerFlex: Come aggiungere e approvare certificati MDM sul gateway tramite RESTAPI

Di seguito sono riportati gli acronimi utilizzati nel comando fornito di seguito per aggiungere il certificato MDM. Si prega di sostituirli in base all'ambiente.

<mdm-password> - Password MDM per accedere aScaleio<Gateway-ip> - IP gateway utilizzato per connettersi tramite token restapi
<>- Il token ricevuto dal passaggio 1
<hostname> - replace with hostname (assicurarsi di avere un nome host diverso per ogni MDM)
<hostname_mentioned in /etc/hosts>- il nome host MDM menzionato in /etc/hosts


La procedura riportata di seguito include un esempio di riferimento, in cui 192.168.2.126 è il gateway e Node1 è uno dei nodi MDM per i quali è necessario aggiungere i certificati MDM al gateway.
È possibile eseguire questo comando da qualsiasi host con curl installato e connettività al gateway.
Non è necessario
riavviare il daemon del gateway È possibile controllare i certificati MDM disponibili nell'archivio chiavi del gateway tramite il comando fornito nel passaggio 5 riportato di seguito.

Passaggio 1) Ottenere il token

# curl -k --basic -u admin:<mdm-password> https://<Gateway-ip>/api/gatewayLogin 

eg:# curl -k --basic -u admin:hagsjfs https://xx.yy.uu.ii/api/gatewayLogin 
"YWRtaW46MTYxMjM4NTI5NDgyODo2YmRiOGFhNGQxNzk2NWY1OWJmZmE1NDU1MWU2MjlkMw"

Passaggio 2) Assicurarsi di aggiungere l'indirizzo IP e il nome host dell MDM in /etc/hosts sul server gateway (IM).

Passaggio 3) Dal passaggio precedente è necessario utilizzare il token ricevuto. Ottenere i certificati degli MDM che devono essere aggiunti:

# curl -k -u foo:<token> https://<Gateway-ip>/api/getHostCertificate/Mdm?host=<hostname_mentioned_in_/etc/hosts> > /tmp/mdmcert_<hostname>

eg:curl -k -u foo:YWRtaW46MTYxMjM4NTI5NDgyODo2YmRiOGFhNGQxNzk2NWY1OWJmZmE1NDU1MWU2MjlkMw https://xx.yy.uu.ii/api/getHostCertificate/Mdm?host=Node1 > /tmp/Node1.crt

Passaggio 4) Installare il certificato nell'archivio chiavi gateway

# curl -k -u foo:<token> --form "file=@/tmp/mdmcert_<hostname>" https://<Gateway-ip>/api/trustHostCertificate/Mdm


eg:# curl -k -u foo:YWRtaW46MTYxMjM4NTI5NDgyODo2YmRiOGFhNGQxNzk2NWY1OWJmZmE1NDU1MWU2MjlkMw --form "file=@/tmp/Node1.crt" https://xx.yy.uu.ii/api/trustHostCertificate/Mdm

Passaggio 5) Verificare che i certificati vengano visualizzati. Nell'alias visualizzato, è necessario fare riferimento al nome CN che deve essere univoco per ogni nodo. Il comando seguente deve essere eseguito dal gateway.

# /usr/bin/keytool -list -keystore /opt/emc/scaleio/gateway/webapps/ROOT/WEB-INF/classes/certificates/truststore.jks  -storepass changeit| grep mdm -A1 

eg: 
# /usr/bin/keytool -list -keystore /opt/emc/scaleio/gateway/webapps/ROOT/WEB-INF/classes/certificates/truststore.jks  -storepass changeit| grep mdm -A1
ou=asd, o=emc, c=us, st=massachusetts, l=hopkinton, cn=node1, givenname=mdm, Feb 3, 2021, trustedCertEntry,
Certificate fingerprint (SHA1): C6:99:F2:8C:82:4A:25:44:36:AF:90:51:43:B9:27:98:7C:9D:F1:6C

Passaggio 6) Ripetere la stessa procedura per aggiungere il certificato MDM agli archivi chiavi del gateway nel caso mancante.

Passaggio 7)Riavviare il daemon del gateway una volta aggiunti i certificati MDM da tutti i nodi MDM

# service scaleio-gateway restart

Viene visualizzato il seguente errore nel browser web del gateway quando il certificato viene modificato o manca nell'archivio chiavi del gateway:

"Il certificato dell MDM primario non è approvato. Clicca qui per vedere i dettagli del certificato"

Il comando Openstack potrebbe anche avere esito negativo quando i certificati MDM non vengono aggiunti all'archivio chiavi del gateway.

Il gateway (tramite web browser) si connetterà sempre all MDM master per l'autenticazione. Se gateway (web browser) registra un errore di certificato, significa che il certificato è stato modificato sull MDM primario e deve essere aggiunto all'archivio chiavi del gateway.
Il gateway non verificherà i certificati MDM secondari a meno che non si passi al cluster MDM.

Altro metodo per aggiungere i certificati MDM all'archivio chiavi del gateway -

1) Commutare il cluster MDM sul nodo MDM in cui il certificato è stato sostituito o i certificati mancano nell'archivio chiavi del gateway. 
Accedere al web browser Gateway, cliccare sulla scheda Maintain e selezionare "Retrieve System Topology". Viene visualizzata la schermata seguente in cui è possibile selezionare "fare clic qui" e approvare il certificato MDM dopo aver verificato che il nome CN sia diverso.
Questa procedura richiede di cambiare il cluster MDM.

2) Trasferire il certificato MDM al nodo Gateway, quindi utilizzare il comando Keytool per incorporare questi certificati nell'archivio chiavi Gateway. Dopo aver aggiunto i certificati da tutti i nodi MDM, è necessario riavviare il daemon del gateway.