Platforma PowerFlex pro správu: Nasazení selže s chybou "SSL certificate problem: Unable To Get Issuer Certificate"
Summary: Nasazení se nezdaří s chybovou zprávou "SSL certificate problem: Unable to get an issuer certificate."
Symptoms
Scénář
- Zařízení PFxM používá vlastní certifikát SSL podepsaný
- Pokus o nasazení nových uzlů HCI pouze pro úložiště
- Pokus o rozšíření aktuální skupiny prostředků HCI pouze pro úložiště
- Pokus o upgrade aktuální skupiny prostředků HCI pouze pro úložiště
Na deployment.log tenkého nasazovače se zobrazují následující skutečnosti:
ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found. DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false
Tato chyba ukazuje na balíček nmon jako nedostupné. Může to být libovolný balíček RPM z úložiště.
*.out soubor nástroje Thin-Deployment týkající se uzlů, které selhávají, ukazuje následující:
" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'", " - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':", "Error code: Curl error 60", "Error message: SSL certificate problem: unable to get issuer certificate",
Ke stejnému problému dochází při použití curl pouze pro ukládání dat / uzlů HCI:
#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
0 0 0 0 0 0 0 0 --:--:-- --:--:-- --:--:-- 0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html
Důsledky
Nová nasazení, rozšíření nebo upgrady skupin prostředků nejsou úspěšná.
Cause
Když nahradíte výchozí certifikát příchozího přenosu dat SSL vlastním certifikátem SSL podepsaným externí certifikační autoritou, uzly neobdrží kopii nového certifikátu certifikační autority. Operační systém používá tento certifikát certifikační autority k ověření a ověření podepsaných certifikátů SSL. Pokud operační systém novému certifikátu certifikační autority nedůvěřuje, stažení úložiště se odmítne.
Resolution
Postup:
Pro uzel HCI pouze pro úložiště založený na systému SLES:
- Zkopírujte celý certifikát kořenové certifikační autority (formát PEM) do složky
/etc/pki/trust/anchors/ - Spusťte příkaz:
update-ca-certificates
Pro uzel HCI pouze pro úložiště založený na systému RHEL:
- Zkopírujte celý certifikát kořenové certifikační autority (formát PEM) do složky
/etc/pki/ca-trust/source/anchors/ - Spusťte příkaz:
update-ca-trust
Celý řetěz kořenové certifikační autority = kořenová certifikační autorita + zprostředkující certifikační autority (pokud existují)
Dotčené verze:
PowerFlex Manager 4.x
Pevná verze:
PowerFlex Manager 4.6