PowerScale: Jak przejść z bezpiecznego zdalnego wsparcia (SRS) na narzędzie SupportAssist?

Wprowadzenie
 

• Systemy łączności zdalnej w OneFS służą do wysyłania alertów, log_gathers, analizy użycia i stanu urządzeń zarządzanych do zaplecza firmy Dell, a także umożliwiają zdalne łączenie się inżynierów pomocy technicznej firmy Dell z klastrem, pod warunkiem że klaster jest skonfigurowany tak, aby zezwalać na tę funkcję

• ESRS jest domyślnym systemem zdalnej łączności w OneFS w wersjach wcześniejszych niż 9.5 i jest obsługiwany przez OneFS 9.5+, ale oczekuje się, że wkrótce zostanie wycofany.

• Począwszy od OneFS 9.5, SupportAssist jest zalecanym systemem zdalnej łączności do przesyłania zdarzeń, dzienników i danych telemetrycznych z klastra PowerScale OneFS do działu pomocy technicznej firmy Dell.

• Istnieją dwie metody komunikacji SupportAssist z zapleczem firmy Dell

  • Bezpośrednie połączenie

  • Połączenie za pośrednictwem bramki zabezpieczeń

• Bramka zabezpieczeń to skonsolidowane rozwiązanie łączności nowej generacji firmy Dell Technologies Services, które zastępuje rozwiązania SupportAssist Enterprise (SAE) i Secure Remote Services (SRS). Technologia Secure Connect Gateway 5.0 jest dostarczana jako urządzenie i samodzielna aplikacja. Bramka zabezpieczeń to jedno rozwiązanie dla całej oferty Dell EMC, które obejmuje serwery, sieci, przechowywanie danych, ochronę danych oraz rozwiązania hiperkonwergentne i konwergentne.

Co to jest SupportAssist?

• Narzędzie SupportAssist integruje rozwiązanie Embedded Service Enabler (ESE) z systemem OneFS i może łączyć się z działem pomocy technicznej firmy Dell bezpośrednio lub za pośrednictwem obsługiwanej bramki zabezpieczeń (SCG).
• SupportAssist jest używany w następujących przepływach pracy:
  • CELOG wysyła alerty za pośrednictwem kanału SupportAssist do działu pomocy technicznej firmy Dell.
  • Gromadzenie i przesyłanie dziennika
  • Aktywacja licencji za pośrednictwem zaplecza firmy Dell
  • Gromadzenie i udostępnianie danych telemetrycznych CloudIQ.
  • Definicje narzędzia HealthCheck są aktualizowane przy użyciu narzędzia SupportAssist.
  • Zdalna pomoc techniczna wykorzystuje usługi SupportAssist i Connectivity Hub do pomocy klientom w zakresie klastrów

Uzyskiwanie klucza dostępu i kodu PIN:

Aby włączyć narzędzie SupportAssist podczas uaktualniania klastra, należy najpierw uzyskać klucz dostępu i kod PIN od działu pomocy technicznej firmy Dell. Aby wygenerować klucz dostępu i kod PIN, przejdź do witryny Dell Support Access Key i wprowadź swoje dane. Aby uzyskać instrukcje dotyczące generowania klucza dostępu, przejdź do strony Instrukcje generowania klucza dostępu .

Wymagania wstępne dotyczące usługi SupportAssist:

• Klaster OneFS musi działać z systemem OneFS w wersji 9.5.0.0 (lub nowszej) i mieć stan zadeklarowany. Można to zweryfikować za pomocą poniższych poleceń:

OneFS9500-1# uname -a
Isilon OneFS OneFS9500-1 9.5.0.3 Isilon OneFS 9.5.0.3 (Patch, Build B_9_5_0_005(RELEASE), 2023-05-08 00:05:53, 0x905005000000005, 9.5.0.3_LTS2023_GA-RUP_PSP-3332) amd64
OneFS9500-1# isi up view

Upgrade Status:

Current Upgrade Activity: No activity
   Cluster Upgrade State: committed
   Upgrade Process State: Not started
      Current OS Version: 9.5.0.0_build(5)style(5)
      Upgrade OS Version: N/A
        Percent Complete: 0%

Nodes Progress:

     Total Cluster Nodes: 3
       Nodes On Older OS: 3
          Nodes Upgraded: 0
Nodes Transitioning/Down: 0

LNN                                                         Version   Status
-------------------------------------------------------------------------------
1-3                                                         9.5.0.0   committed
OneFS9500-1#

• Klaster OneFS ma dedykowaną sieć IPv4.
• Połączenie z SupportAssist jest wykonywane ze statycznej puli sieciowej
• W przypadku migracji z SRS do SupportAssist przygotuj klucz dostępu i kod PIN klastra.
• Użytkownik ESE musi istnieć i należeć do roli z uprawnieniami ISI_PRIV_REMOTE_SUPPORT do odczytu i zapisu. Dane wyjściowe powinny być podobne do poniższych: 

OneFS9500-1# isi auth users view ese
                    Name: ese
                      DN: -
              DNS Domain: -
                  Domain: UNIX_USERS
                Provider: lsa-file-provider:System
        Sam Account Name: ese
                     UID: 13
                     SID: S-1-22-1-13
                 Enabled: Yes
                 Expired: No
                  Expiry: -
                  Locked: No
                   Email: -
                   GECOS: SupportAssist User
           Generated GID: No
           Generated UID: No
           Generated UPN: Yes
           Primary Group
                          ID: GID:13
                        Name: ese
          Home Directory: /nonexistent
        Max Password Age: -
        Password Expired: No
         Password Expiry: -
       Password Last Set: -
        Password Expires: Yes
              Last Logon: -
                   Shell: /usr/sbin/nologin
                     UPN: ese@UNIX_USERS
User Can Change Password: No
   Disable When Inactive: No
OneFS9500-1# isi auth mapping token ese
                   User
                       Name: ese
                        UID: 13
                        SID: S-1-22-1-13
                    On Disk: 13
                    ZID: 1
                   Zone: System
             Privileges: ISI_PRIV_LOGIN_PAPI
                         ISI_PRIV_REMOTE_SUPPORT
          Primary Group
                       Name: ese
                        GID: 13
                        SID: S-1-22-2-13
                    On Disk: 13
Supplemental Identities
                       Name: Authenticated Users
                        SID: S-1-5-11
OneFS9500-1#

• W przypadku korzystania z bramki zabezpieczeń należy użyć SCG w wersji 5.x lub nowszej. Należy również otworzyć port 9443 między klastrem a SCG. Uruchom poniższe polecenie curl z węzła należącego do puli dostępu bramki SupportAssist, aby sprawdzić:

Cluster-1# curl -vk https://<IP>:9443
*   Trying <IP>:9443...
* Connected to <IP> (<IP>) port 9443
* ALPN: curl offers http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384
* ALPN: server accepted http/1.1
* Server certificate:
*  subject: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN>
*  start date: Nov 28 13:19:05 2023 GMT
*  expire date: Nov 28 13:19:05 2043 GMT
*  issuer: C=US; ST=Texas; L=Round Rock; O=Dell Technologies Inc.; OU=Dell Secure Remote Services; CN=<CN>
*  SSL certificate verify result: unable to get local issuer certificate (20), continuing anyway.
* using HTTP/1.1
> GET / HTTP/1.1
> Host: <IP>:9443
> User-Agent: curl/8.4.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Thu, 06 Jun 2024 11:14:46 GMT
< Server: Apache
< Strict-Transport-Security: max-age=31536000; includeSubDomains;
< X-Frame-Options: sameorigin
< X-XSS-Protection: 1; mode=block
< X-Content-Type-Options: nosniff
< Last-Modified: Tue, 28 Nov 2023 13:19:05 GMT
< ETag: "18-60b3643496985"
< Accept-Ranges: bytes
< Content-Length: 24
< Content-Security-Policy: frame-ancestors 'self'
< Content-Type: text/html
<
<h1>Page Not Found</h1>
* Connection #0 to host <IP> left intact

• W przypadku korzystania z połączenia bezpośredniego porty sieciowe 443 i 8443 muszą być kierowane do pomocy technicznej firmy Dell.
• Usługi SRS są wyłączone. Włączenie aplikacji SupportAssist powoduje automatyczne wyłączenie usług SRS.

Omówienie włączania narzędzia SupportAssist

Aby włączyć narzędzie SupportAssist, należy wykonać następujące czynności:

1. Wybierz co najmniej jedną statyczną podsieć lub pulę dla komunikacji wychodzącej.

2. Opcjonalnie: Włącz SCG i określ nazwę hosta.

3. Uzyskaj klucz dostępu i kod PIN w portalu pomocy technicznej firmy Dell.

4. Podłączenie i udostępnienie usługi SupportAssist ( UWAGA: Włączenie funkcji SupportAssist w klastrze OneFS powoduje trwałe wyłączenie usług SRS) 

Opcja 1 : Włączanie aplikacji SupportAssist — łączenie się bezpośrednio z pomocą techniczną firmy Dell

Włącz narzędzie SupportAssist, aby połączyć się bezpośrednio z pomocą techniczną firmy Dell, wykonując następujące polecenia:

• Aby wybrać co najmniej jedną podsieć statyczną i pulę dla komunikacji wychodzącej, wprowadź następujące polecenie, gdzie jest wybraną statyczną podsiecią i pulą"

isi supportassist settings modify --network-pools="<subnet0.pool0>"

• Domyślnym trybem połączenia jest tryb połączenia bezpośredniego. Aby włączyć tryb połączenia bezpośredniego, wprowadź następujące polecenie:

isi supportassist settings modify --connection-mode direct

• Jeśli używasz klucza dostępu i kodu PIN, aby połączyć się z działem pomocy technicznej firmy Dell i włączyć aplikację SupportAssist, wprowadź następujące polecenie, w którym oznaczają one klucz dostępu i kod PIN otrzymane w portalu pomocy technicznej firmy Dell:

isi supportassist provision start --access-key <key> --pin <pin>

• Jeśli używasz klucza sprzętowego, aby połączyć się z pomocą techniczną firmy Dell i włączyć aplikację SupportAssist, wprowadź następujące polecenie:

isi supportassist provision start

• Stan aprowizacji należy monitorować za pomocą poniższego polecenia

isi supportassist provision view -i

Opcja 2 : Włączanie SupportAssist — bramka zabezpieczeń
 

Włącz narzędzie SupportAssist w celu nawiązania połączenia z bramką zabezpieczeń (SCG), wykonując następujące polecenia:

• Aby wybrać co najmniej jedną podsieć statyczną i pulę dla komunikacji wychodzącej, wprowadź następujące polecenie, gdzie jest wybraną statyczną podsiecią i pulą:

isi supportassist settings modify --network-pools="<subnet0.pool0>"

• Aby włączyć tryb połączenia SCG, wprowadź następujące polecenie:

isi supportassist settings modify --connection-mode gateway

• Aby wskazać SupportAssist SCG, wprowadź następujące polecenie, gdzie jest nazwą hosta SCG

isi supportassist settings modify --gateway-host <hostname> --gateway-port <integer>

• Jeśli używasz klucza dostępu i kodu PIN, aby połączyć się z działem pomocy technicznej firmy Dell i włączyć aplikację SupportAssist, wprowadź następujące polecenie, w którym oznaczają one klucz dostępu i kod PIN otrzymane w portalu pomocy technicznej firmy Dell:

isi supportassist provision start --access-key <key> --pin <pin>

• Jeśli używasz klucza sprzętowego, aby połączyć się z pomocą techniczną firmy Dell i włączyć aplikację SupportAssist, wprowadź następujące polecenie:

isi supportassist provision start

• Stan aprowizacji należy monitorować za pomocą poniższego polecenia

isi supportassist provision view -i