PowerFlex-hanteringsplattform: Distributionen misslyckas med "SSL-certifikatproblem: Det går inte att hämta utfärdarcertifikat"
Summary: Distributionen misslyckas med felmeddelandet "SSL-certifikatproblem: Det går inte att få ett utfärdarcertifikat."
Symptoms
Scenario
- PFxM-enheten använder ett anpassat signerat SSL-certifikat
- Försöker distribuera nya HCI-noder för endast lagring
- Försöker utöka en aktuell HCI-resursgrupp för endast lagring
- Försöker uppgradera en aktuell HCI-resursgrupp för endast lagring
Den tunna distributionsenhetens deployment.log visar följande:
ERROR [2023-12-06T15:10:47.435192] 56708: service_deployment.rb:1858:in `process_ansible_errors': Error Message: No provider of '+nmon' found. DEBUG [2023-12-06T15:10:47.435484] 56708: service_deployment.rb:1868:in `process_ansible_errors': errpr_desc = No provider of '+nmon' found.; additional_error_check = false
Det här felet pekar på paketet nmon eftersom det inte finns tillgängligt. Det kan vara vilket RPM-paket som helst från lagringsplatsen.
Den tunna distribuerarens *.out-fil som är relaterad till de noder som inte fungerar visar följande:
" - [|] Error trying to read from 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism'", " - Download (curl) error for 'https://10.1.0.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content':", "Error code: Curl error 60", "Error message: SSL certificate problem: unable to get issuer certificate",
Samma problem uppstår när du använder curl från noderna Endast lagring/HCI:
#curl https://10.1.1.1/httpshare/download/8aaa812487be83780187be8d264c1aad/os/VxFlex4.0.1SLES15.3Repo/dellemc_ism/content -o context.txt
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
0 0 0 0 0 0 0 0 --:--:-- --:--:-- --:--:-- 0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html
Påverkan
Nya distributioner och utökningar eller uppgraderingar av resursgrupper lyckas inte.
Cause
När du ersätter standardcertifikatet för SSL-ingress med ett anpassat SSL-certifikat som signerats av en extern certifikatutfärdare får noderna ingen kopia av det nya certifikatutfärdarcertifikatet. Operativsystemet använder det här CA-certifikatet för att verifiera och validera signerade SSL-certifikat. Om operativsystemet inte litar på det nya CA-certifikatet avvisas hämtningen av lagringsplatsen.
Resolution
Procedur:
För en SLES-baserad HCI-nod för endast lagring:
- Kopiera hela rotcertifikatutfärdarkedjans certifikat (PEM-format) till
/etc/pki/trust/anchors/ - Kör kommandot:
update-ca-certificates
För en RHEL-baserad HCI-nod för endast lagring:
- Kopiera hela rotcertifikatutfärdarkedjans certifikat (PEM-format) till
/etc/pki/ca-trust/source/anchors/ - Kör kommandot:
update-ca-trust
Hela rotcertifikatutfärdarkedjan = rotcertifikatutfärdare + mellanliggande certifikatutfärdare (om sådana finns)
Berörda versioner:
PowerFlex Manager 4.x
Fast version:
PowerFlex Manager 4.6