PowerScale: Come eseguire la migrazione da Secure Remote Support (SRS) a SupportAssist?
Resumen: Questo è un articolo supplementare alle guide per amministratori di OneFS web e CLI e ha lo scopo di guidare clienti e partner durante la migrazione da SRS a SupportAssist
Instrucciones
Introduzione
-
I sistemi di connettività remota su OneFS vengono utilizzati per l'invio di avvisi, log_gathers, Usage Intelligence e stato dei dispositivi gestiti al back-end Dell e consentono anche l'accesso remoto da parte dei tecnici del supporto Dell al cluster, a condizione che il cluster sia configurato per consentire questa funzione
-
ESRS è il sistema di connettività remota predefinito nelle versioni di OneFS precedenti alla v9.5 ed è supportato in OneFS 9.5+, ma verrà disattivato a breve.
-
A partire da OneFS 9.5 , SupportAssist è il sistema di connettività remota consigliato per la trasmissione di eventi, registri e dati di telemetria da un cluster PowerScale OneFS al supporto Dell.
-
Esistono due metodi per consentire a SupportAssist di comunicare con il back-end Dell
-
Connessione diretta
-
Connessione tramite gateway con connessione sicura
-
-
Il gateway con connessione sicura è la soluzione di connettività consolidata di nuova generazione di Dell Technologies Services, che sostituisce le soluzioni di connettività SupportAssist Enterprise (SAE) e Secure Remote Services (SRS). La tecnologia Gateway con connessione sicura 5.0 viene fornita come appliance e applicazione standalone. Il gateway con connessione sicura offre un'unica soluzione per l'intero portafoglio Dell EMC che supporta server, rete, storage dei dati, protezione dei dati, soluzioni convergenti e hyper-converged.
Cos'è SupportAssist?
- SupportAssist integra un Embedded Service Enabler (ESE) in OneFS e può connettersi al supporto Dell direttamente o tramite un gateway con connessione sicura (SCG) supportato.
- SupportAssist viene utilizzato per i seguenti flussi di lavoro:
- CELOG invia avvisi al supporto Dell tramite il canale SupportAssist.
- Raccolta e upload dei registri
- Attivazione della licenza tramite il back-end Dell
- Raccolta e aggiornamento dei dati di telemetria CloudIQ.
- Le definizioni di HealthCheck vengono aggiornate utilizzando SupportAssist.
- Supporto remoto utilizza SupportAssist e Connectivity Hub per assistere i clienti con i loro cluster
Acquisizione di una chiave di accesso e di un PIN:
Quando si aggiorna il cluster, per abilitare SupportAssist, è necessario prima ottenere una chiave di accesso e un PIN dal supporto Dell. Per generare la chiave di accesso e il PIN, accedere al sito della chiave di accesso del supporto Dell e inserire le informazioni. Per istruzioni sulla generazione della chiave di accesso, accedere alla pagina relativa alle istruzioni per la generazione della chiave di accesso .
Prerequisiti di SupportAssist:
-
Il cluster OneFS deve eseguire OneFS 9.5.0.0 (o versione successiva) e avere uno stato di commit. Ciò può essere verificato utilizzando i seguenti comandi:
OneFS9500-1# uname -a
Isilon OneFS OneFS9500-1 9.5.0.3 Isilon OneFS 9.5.0.3 (Patch, Build B_9_5_0_005(RELEASE), 2023-05-08 00:05:53, 0x905005000000005, 9.5.0.3_LTS2023_GA-RUP_PSP-3332) amd64
OneFS9500-1# isi up view
Upgrade Status:
Current Upgrade Activity: No activity
Cluster Upgrade State: committed
Upgrade Process State: Not started
Current OS Version: 9.5.0.0_build(5)style(5)
Upgrade OS Version: N/A
Percent Complete: 0%
Nodes Progress:
Total Cluster Nodes: 3
Nodes On Older OS: 3
Nodes Upgraded: 0
Nodes Transitioning/Down: 0
LNN Version Status
-------------------------------------------------------------------------------
1-3 9.5.0.0 committed
OneFS9500-1#
- Il cluster OneFS dispone di una rete IPv4 dedicata.
- La connessione da SupportAssist viene eseguita da un pool di rete statico
- Se si esegue la migrazione da SRS a SupportAssist, assicurarsi di disporre della chiave di accesso e del pin del cluster.
- L'utente ESE deve esistere e appartenere a un ruolo con accesso in lettura e scrittura ISI_PRIV_REMOTE_SUPPORT . L'output dovrebbe essere simile al seguente:
OneFS9500-1# isi auth users view ese
Name: ese
DN: -
DNS Domain: -
Domain: UNIX_USERS
Provider: lsa-file-provider:System
Sam Account Name: ese
UID: 13
SID: S-1-22-1-13
Enabled: Yes
Expired: No
Expiry: -
Locked: No
Email: -
GECOS: SupportAssist User
Generated GID: No
Generated UID: No
Generated UPN: Yes
Primary Group
ID: GID:13
Name: ese
Home Directory: /nonexistent
Max Password Age: -
Password Expired: No
Password Expiry: -
Password Last Set: -
Password Expires: Yes
Last Logon: -
Shell: /usr/sbin/nologin
UPN: ese@UNIX_USERS
User Can Change Password: No
Disable When Inactive: No
OneFS9500-1# isi auth mapping token ese
User
Name: ese
UID: 13
SID: S-1-22-1-13
On Disk: 13
ZID: 1
Zone: System
Privileges: ISI_PRIV_LOGIN_PAPI
ISI_PRIV_REMOTE_SUPPORT
Primary Group
Name: ese
GID: 13
SID: S-1-22-2-13
On Disk: 13
Supplemental Identities
Name: Authenticated Users
SID: S-1-5-11
OneFS9500-1#
- Se si utilizza Gateway con connessione sicura, è necessario utilizzare SCG versione 5.x o successiva. Inoltre, la porta 9443 deve essere aperta tra il cluster e SCG. Eseguire il comando curl riportato di seguito da un nodo che fa parte del pool di accesso al gateway SupportAssist per verificare:
Cluster-1# curl -vk https://<IP>:9443 * Trying <IP>:9443... * Connected to <IP> (<IP>) port 9443 * ALPN: curl offers http/1.1 * Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH * TLSv1.2 (OUT), TLS handshake, Client hello (1): * TLSv1.2 (IN), TLS handshake, Server hello (2): * TLSv1.2 (IN), TLS handshake, Certificate (11): * TLSv1.2 (IN), TLS handshake, Server key exchange (12): * TLSv1.2 (IN), TLS handshake, Server finished (14): * TLSv1.2 (OUT), TLS handshake, Client key exchange (16): * TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1): * TLSv1.2 (OUT), TLS handshake, Finished (20): * TLSv1.2 (IN), TLS change cipher, Change cipher spec (1): * TLSv1.2 (IN), TLS handshake, Finished (20): * SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384 * ALPN: server accepted http/1.1 * Server certificate: * subject: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN> * start date: Nov 28 13:19:05 2023 GMT * expire date: Nov 28 13:19:05 2043 GMT * issuer: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN> * SSL certificate verify result: unable to get local issuer certificate (20), continuing anyway. * using HTTP/1.1 > GET / HTTP/1.1 > Host: <IP>:9443 > User-Agent: curl/8.4.0 > Accept: */* > < HTTP/1.1 200 OK < Date: Thu, 06 Jun 2024 11:14:46 GMT < Server: Apache < Strict-Transport-Security: max-age=31536000; includeSubDomains; < X-Frame-Options: sameorigin < X-XSS-Protection: 1; mode=block < X-Content-Type-Options: nosniff < Last-Modified: Tue, 28 Nov 2023 13:19:05 GMT < ETag: "18-60b3643496985" < Accept-Ranges: bytes < Content-Length: 24 < Content-Security-Policy: frame-ancestors 'self' < Content-Type: text/html < <h1>Page Not Found</h1> * Connection #0 to host <IP> left intact
- Se si utilizza la connessione diretta, le porte di rete 443 e 8443 devono essere instradate al supporto Dell.
- SRS è disabilitato. L'abilitazione di SupportAssist disattiva automaticamente SRS.
Panoramica sull'abilitazione di SupportAssist
Per attivare SupportAssist, è necessario effettuare le seguenti operazioni:
-
Scegliere una o più subnet o pool statici per la comunicazione in uscita.
-
Opzionale: Abilitare SCG e specificare il nome host.
-
Ottenere una chiave di accesso e un pin dal portale del supporto Dell.
-
Connessione ed esecuzione del provisioning di SupportAssist (NOTA: Utenti SRS, l'abilitazione di SupportAssist sul cluster OneFS disabilita SRS in modo permanente
Opzione 1 : Abilitazione di SupportAssist: connessione diretta al supporto Dell
Consentire a SupportAssist di connettersi direttamente al supporto Dell eseguendo i seguenti comandi:
-
Per scegliere una o più subnet e pool statici per la comunicazione in uscita, immettere il seguente comando dove è la subnet statica e il pool scelti"
isi supportassist settings modify --network-pools="<subnet0.pool0>"
- La modalità di connessione diretta è l'opzione predefinita. Per abilitare la modalità di connessione diretta, inserire il seguente comando:
isi supportassist settings modify --connection-mode direct
- Se si utilizzano una chiave di accesso e un pin, per connettersi al supporto Dell e abilitare SupportAssist, immettere il seguente comando dove e sono la chiave di accesso e il PIN forniti dal portale del supporto Dell:
isi supportassist provision start --access-key <key> --pin <pin>
- Se si utilizza una chiave hardware, per connettersi al supporto Dell e abilitare SupportAssist, immettere il seguente comando:
isi supportassist provision start
- Monitorare lo stato del provisioning utilizzando il comando riportato di seguito
isi supportassist provision view -i
Opzione 2 : Abilitazione di SupportAssist - Gateway con connessione sicura
Abilitare SupportAssist per connettersi a un gateway con connessione sicura (SCG) eseguendo i seguenti comandi:
-
Per scegliere una o più subnet e pool statici per la comunicazione in uscita, inserire il seguente comando in cui si trova la subnet e il pool statici scelti:
isi supportassist settings modify --network-pools="<subnet0.pool0>"
- Per abilitare la modalità di connessione SCG, inserire il seguente comando:
isi supportassist settings modify --connection-mode gateway
- Per puntare SupportAssist al Gateway con connessione sicura, immettere il seguente comando, dove è il nome host del Gateway con connessione sicura.
isi supportassist settings modify --gateway-host <hostname> --gateway-port <integer>
- Se si utilizzano una chiave di accesso e un pin, per connettersi al supporto Dell e abilitare SupportAssist, immettere il seguente comando dove e sono la chiave di accesso e il PIN forniti dal portale del supporto Dell:
isi supportassist provision start --access-key <key> --pin <pin>
- Se si utilizza una chiave hardware, per connettersi al supporto Dell e abilitare SupportAssist, immettere il seguente comando:
isi supportassist provision start
- Monitorare lo stato del provisioning utilizzando il comando riportato di seguito
isi supportassist provision view -i