Платформа управления PowerFlex: Сбой развертывания с сообщением «SSL Certificate problem: Невозможно получить сертификат издателя»
Summary: Сбой развертывания с сообщением об ошибке «SSL certificate problem: Не удается получить сертификат издателя».
Symptoms
Сценарий
- Устройство PFxM использует SSL-сертификат, подписанный пользователем
- Попытка развернуть новые узлы HCI, предназначенные только для хранения
- Попытка расширить текущую группу ресурсов HCI, предназначенную только для хранения
- Попытка модернизировать текущую группу ресурсов HCI, предназначенную только для хранения
На deployment.log устройства тонкого развертывания отображается следующее:
ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found. DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false
Эта ошибка указывает на пакет nmon как недоступный. Это может быть любой RPM-пакет из репозитория.
В файле *.out модуля тонкого развертывания, связанном со сбоем узлами, отображается следующее:
" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'", " - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':", "Error code: Curl error 60", "Error message: SSL certificate problem: unable to get issuer certificate",
Такая же проблема наблюдается и при использовании curl на узлах только для хранения/HCI:
#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
0 0 0 0 0 0 0 0 --:--:-- --:--:-- --:--:-- 0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html
Воздействие
Новые развертывания, расширения или обновления групп ресурсов не выполняются.
Cause
При замене входящего сертификата SSL по умолчанию пользовательским сертификатом SSL, подписанным внешним источником сертификатов, узлы не получают копию нового сертификата источника сертификатов. Операционная система использует этот сертификат CA для проверки и валидации подписанных SSL-сертификатов. Если операционная система не доверяет новому сертификату источника сертификатов, скачивание репозитория отклоняется.
Resolution
Процедура:
Для узла HCI только на базе SLES
- Скопируйте весь сертификат корневой цепочки CA (в формате PEM) в
/etc/pki/trust/anchors/ - Выполните команду:
update-ca-certificates
Для узла HCI только на базе RHEL выполните следующие действия:
- Скопируйте весь сертификат корневой цепочки CA (в формате PEM) в
/etc/pki/ca-trust/source/anchors/ - Выполните команду:
update-ca-trust
Вся корневая цепочка CA = корневой CA + промежуточные CA (если есть)
Затронутые версии:
PowerFlex Manager 4.x
Исправленная версия:
PowerFlex Manager 4.6