Piattaforma di gestione PowerFlex: L'implementazione non riesce con "SSL certificate problem: Impossibile ottenere il certificato dell'autorità di certificazione"
Summary: L'implementazione ha esito negativo con il messaggio di errore "SSL certificate problem: Impossibile ottenere un certificato dell'emittente."
Symptoms
Scenario
- L'appliance PFxM utilizza un certificato SSL con firma personalizzata
- Tentativo di implementare nuovi nodi HCI di solo storage
- Tentativo di espandere un gruppo di risorse HCI di solo storage corrente
- Tentativo di eseguire l'upgrade di un gruppo di risorse HCI di solo storage corrente
Il deployment.log di Thin-deployer mostra quanto segue:
ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found. DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false
Questo errore punta al pacchetto nmon in quanto non disponibile. Potrebbe trattarsi di qualsiasi pacchetto RPM del repository.
Il file *.out del thin deployer correlato ai nodi in cui si verifica l'errore mostra quanto segue:
" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'", " - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':", "Error code: Curl error 60", "Error message: SSL certificate problem: unable to get issuer certificate",
Lo stesso problema si verifica quando si utilizza curl dai nodi solo storage/HCI:
#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
0 0 0 0 0 0 0 0 --:--:-- --:--:-- --:--:-- 0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html
Impatto
Le nuove distribuzioni e le nuove espansioni o aggiornamenti dei gruppi di risorse non riescono.
Cause
Quando si sostituisce il certificato SSL in entrata predefinito con un certificato SSL personalizzato firmato da una CA esterna, i nodi non ricevono una copia del nuovo certificato CA. Il sistema operativo utilizza questo certificato CA per verificare e convalidare i certificati SSL firmati. Se il sistema operativo non considera attendibile il nuovo certificato CA, il download del repository viene rifiutato.
Resolution
Procedura:
Per un nodo HCI di solo storage basato su SLES:
- Copiare il certificato dell'intera catena CA radice (formato PEM) in
/etc/pki/trust/anchors/ - Eseguire il comando:
update-ca-certificates
Per un nodo HCI di solo storage basato su RHEL:
- Copiare il certificato dell'intera catena CA radice (formato PEM) in
/etc/pki/ca-trust/source/anchors/ - Eseguire il comando:
update-ca-trust
Intera catena CA root = CA root + CA intermedie (se presenti)
Versioni interessate:
PowerFlex Manager 4.x
Versione fissa:
PowerFlex Manager 4.6