PowerFlex-Managementplattform: Die Bereitstellung schlägt fehl mit "SSL certificate problem: Ausstellerzertifikat kann nicht abgerufen werden"
Summary: Die Bereitstellung schlägt mit der Fehlermeldung "SSL certificate problem: Ausstellerzertifikat kann nicht abgerufen werden."
Symptoms
Beispiel
- PFxM-Appliance verwendet ein nutzersigniertes SSL-Zertifikat.
- Es wird versucht, neue reine HCI-Storage-Nodes bereitzustellen
- Es wird versucht, eine aktuelle HCI-Ressourcengruppe mit reinem Storage zu erweitern
- Der Versuch, ein Upgrade einer aktuellen HCI-Ressourcengruppe mit reinem Storage durchzuführen
Die deployment.log des Thin-Deployers zeigt Folgendes an:
ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found. DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false
Dieser Fehler verweist auf das Paket nmon als nicht verfügbar. Dies kann ein beliebiges RPM-Paket aus dem Repository sein.
Die *.out-Datei des Thin Deployers, die sich auf die Nodes bezieht, die fehlschlagen, zeigt Folgendes an:
" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'", " - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':", "Error code: Curl error 60", "Error message: SSL certificate problem: unable to get issuer certificate",
Das gleiche Problem tritt bei der Verwendung von curl von den reinen Storage-/HCI-Nodes:
#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
0 0 0 0 0 0 0 0 --:--:-- --:--:-- --:--:-- 0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html
Auswirkungen
Neue Bereitstellungen und Erweiterungen oder Upgrades von Ressourcengruppen sind nicht erfolgreich.
Cause
Wenn Sie das standardmäßige SSL-Eingangszertifikat durch ein nutzerdefiniertes SSL-Zertifikat ersetzen, das von einer externen Zertifizierungsstelle signiert wurde, erhalten die Nodes keine Kopie des neuen Zertifizierungsstellenzertifikats. Das Betriebssystem verwendet dieses CA-Zertifikat, um signierte SSL-Zertifikate zu verifizieren und zu validieren. Wenn das Betriebssystem dem neuen CA-Zertifikat nicht vertraut, wird der Repository-Download abgelehnt.
Resolution
Verfahren:
Für einen SLES-basierten reinen Storage-HCI-Node:
- Kopieren Sie das Zertifikat der gesamten Stamm-CA-Kette (PEM-Format) nach
/etc/pki/trust/anchors/ - Führen Sie folgenden Befehl aus:
update-ca-certificates
Für einen RHEL-basierten reinen Storage-HCI-Node:
- Kopieren Sie das Zertifikat der gesamten Stamm-CA-Kette (PEM-Format) nach
/etc/pki/ca-trust/source/anchors/ - Führen Sie folgenden Befehl aus:
update-ca-trust
Gesamte Kette der Stammzertifizierungsstellen = Stammzertifizierungsstelle + Zwischenzertifizierungsstellen (falls vorhanden)
Betroffene Versionen:
PowerFlex Manager 4.x
Korrigierte Version:
PowerFlex Manager 4.6