PowerFlex 3.X: 프레젠테이션 서버의 웹 UI가 로드되지 않음

프레젠테이션 서버 서비스가 시작되지만 웹 페이지에서 초기 로그인 화면을 로드하지 못합니다.

[root@host1 .config]# systemctl status mgmt-server.service

● mgmt-server.service - Scaleio MGMT Server
   Loaded: loaded (/etc/systemd/system/mgmt-server.service; enabled; vendor preset: disabled)
   Active: active (running) since Fri 2023-1-09 05:30:03 EST; 11s ago
Main PID: 29700 (java)
   CGroup: /system.slice/mgmt-server.service
    
        └─29700 /bin/java -Xmx4g -Dlog4j2.formatMsgNoLookups=true -Djna.tmpdir=/opt/emc/scaleio/mgmt-server/tmp -Djava.io.tmpdir=/opt/emc/scaleio/mg...
Dec 09 05:30:08 host1 java[29700]: at org.eclipse.jetty.server.AbstractConnector.doStart(AbstractConnector.java:320)
...
Dec 09 05:30:08 host1  java[29700]: at java.lang.Thread.run(Thread.java:750)

프레젠테이션 서버 로그에 다음 오류가 표시됩니다.

/opt/emc/scaleio/mgmt-server/logs/scaleio.log:

Suppressed: com.google.common.util.concurrent.ServiceManager$FailedService: HttpdService [FAILED]
Caused by: java.lang.IllegalStateException: KeyStores with multiple certificates are not supported on the base class org.eclipse.jetty.util.ssl.SslContextFactory. (Use org.eclipse.jetty.util.ssl.SslContextFactory$Server or org.eclipse.jetty.util.ssl.SslContextFactory$Client instead)
    at org.eclipse.jetty.util.ssl.SslContextFactory.newSniX509ExtendedKeyManager(SslContextFactory.java:1288)
    at org.eclipse.jetty.util.ssl.SslContextFactory.getKeyManagers(SslContextFactory.java:1270)
    at org.eclipse.jetty.util.ssl.SslContextFactory.load(SslContextFactory.java:372)
    at org.eclipse.jetty.util.ssl.SslContextFactory.doStart(SslContextFactory.java:243)
    at org.eclipse.jetty.util.component.AbstractLifeCycle.start(AbstractLifeCycle.java:73)
    at org.eclipse.jetty.util.component.ContainerLifeCycle.start(ContainerLifeCycle.java:169)
    at org.eclipse.jetty.util.component.ContainerLifeCycle.doStart(ContainerLifeCycle.java:117)
    at org.eclipse.jetty.server.SslConnectionFactory.doStart(SslConnectionFactory.java:97)
    at org.eclipse.jetty.util.component.AbstractLifeCycle.start(AbstractLifeCycle.java:73)
    at org.eclipse.jetty.util.component.ContainerLifeCycle.start(ContainerLifeCycle.java:169)
    at org.eclipse.jetty.util.component.ContainerLifeCycle.doStart(ContainerLifeCycle.java:117)
    at org.eclipse.jetty.server.AbstractConnector.doStart(AbstractConnector.java:321)
    at org.eclipse.jetty.server.AbstractNetworkConnector.doStart(AbstractNetworkConnector.java:81)
    at org.eclipse.jetty.server.ServerConnector.doStart(ServerConnector.java:234)
    at org.eclipse.jetty.util.component.AbstractLifeCycle.start(AbstractLifeCycle.java:73)
    at org.eclipse.jetty.server.Server.doStart(Server.java:401)
    at org.eclipse.jetty.util.component.AbstractLifeCycle.start(AbstractLifeCycle.java:73)
    at com.emc.vxflexos.webui.backend.httpd.HttpdService.startUp(HttpdService.java:31)
    at com.google.common.util.concurrent.AbstractIdleService$DelegateService$1.run(AbstractIdleService.java:62)
    at com.google.common.util.concurrent.Callables$4.run(Callables.java:119)
    at java.lang.Thread.run(Thread.java:750)

다음 명령을 실행하여 프레젠테이션 서버가 여러 SAN 항목을 사용하는지 확인합니다. 이 작업은 고객이 갱신하거나 교체하는 인증서에 여러 SAN 확장 항목이 있는 인증서에 대해 실행할 수 있습니다.

[root@host1 /]# openssl x509 -noout -text -in <location_of_new_signed_cert> | grep -A1 -i 'Subject Alternative Name'
            X509v3 Subject Alternative Name:
                DNS:host1, DNS:host1.

영향

관리 서버에 대한 웹 UI를 로드하지 못하면 UI(User Interface)를 통해 PowerFlex 클러스터를 관리할 수 없습니다. 이로 인해 PowerFlex 시스템의 관리 및 운영 용이성이 저하됩니다. 

이 문제는 Jetty 프레임 워크, 특히 기본 클래스가 org.eclipse.jetty.util.ssl.SslContextFactory KeyStore에서 여러 인증서를 처리하려고 시도하지만, 이는 처리하도록 설계되지 않은 작업입니다. 기본적으로 영향을 받는 프레젠테이션 서버 버전은 둘 이상의 SAN(주체 대체 이름) 확장 항목이 포함된 인증서를 관리할 수 없으므로 이러한 인증서가 발생할 때 오류가 발생합니다. 

1. 단일 SAN(주체 대체 이름) 확장 항목만 포함하는 인증서를 활용합니다. 이는 mgmt-server의 현재 제한 사항과 일치하며 정상 작동을 허용해야 합니다.
2. mgmt-server를 버전 3.6.1로 업그레이드합니다. 이 버전에는 여러 SAN 확장 항목에 대한 지원이 개선되어 인증서를 조정할 필요가 없습니다.

영향을 받는 버전

PowerFlex 3.5.x

PowerFlex 3.6.0.x

수정된 버전

PowerFlex 3.6.1