PowerFlex: A conversão do SO SVM falha quando a autenticação MDM está habilitada SDS_AUTHENTICATION_FAILED

• A conversão do SVM OS é concluída , mas o serviço SDS não consegue se reconectar ao cluster.
• O resultado do comando de consulta SDS mostra a SVM listada, mas seu estado é Disconnected.
• Os registros de eventos do MDM mostram SDS_RECONNECTED imediatamente seguido por SDS_AUTHENTICATION_FAILED com erro: "Falha ao carregar o par de chaves de autenticação":

  2025-10-10 16:20:36.649 SDS_RECONNECTED INFO SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) reconnected
  2025-10-10 16:20:36.651 SDS_AUTHENTICATION_FAILED ERROR SDS: Sds-esxi249.chronex.lab (ID 39c9b4dc00000003) failed authentication (Failed loading the authentication key-pair)

• A autenticação MDM foi explicitamente habilitada (não a configuração padrão): 

  scli --query_all | grep -i "MDM connection"
  MDM connection authentication: Enabled

• Os relógios do sistema MDM podem mostrar a hora incorreta (por exemplo, 1970-01-01) indicando a configuração de NTP ausente.
• O rastreamento do Chronyc informa como Offline ou não mostra nenhuma fonte de NTP válida.

Impacto

• A conversão do SO não pode ser concluída enquanto a autenticação MDM está ativada.
• Os nós SDS convertidos permanecem off-line e não podem ingressar novamente no cluster.
• Os pools de armazenamento podem ficar DEGRADADOS devido à falta de capacidade do SDS.

Importante: A autenticação MDM é desativada por padrão no PowerFlex. Esse problema afeta apenas os ambientes em que a autenticação foi explicitamente habilitada para maior segurança.

Quando a autenticação MDM está habilitada, o serviço SDS exige certificados válidos para se comunicar com o MDM. Durante a conversão do sistema operacional, o serviço SDS é reinstalado e perde suas credenciais de certificado. Quando o SDS tenta se reconectar, a camada de autenticação do MDM bloqueia o registro porque o SDS não pode apresentar certificados válidos.

Além disso, se o NTP não estiver configurado corretamente nos nós de cluster do MDM, o relógio do sistema pode estar incorreto (geralmente mostrando 1970-01-01). Os certificados gerados com registros de data e hora inválidos são rejeitados pelo MDM, resultando em eventos de falha de emissão de certificados. Isso impede a geração bem-sucedida de certificados mesmo depois que a autenticação é reativada.

O processo de conversão do sistema operacional não lida automaticamente com o fluxo de trabalho de autenticação do MDM, exigindo intervenção manual para desativar a autenticação, permitir a reconexão e regenerar certificados.

1. Antes de iniciar a conversão do sistema operacional, confirme se o NTP está configurado em todos os nós do PowerFlex MDM:

chronyc tracking

Exemplo:

svm-esxi246:~ # chronyc tracking
Reference ID    : 0AEA7154 (CGee-10-234-113-84.Chronex.lab)
Stratum         : 4
Ref time (UTC)  : Wed Oct 29 14:45:52 2025
System time     : 0.000019126 seconds slow of NTP time
Last offset     : -0.000027579 seconds
RMS offset      : 0.000036048 seconds
Frequency       : 10.327 ppm slow
Residual freq   : -0.062 ppm
Skew            : 0.298 ppm
Root delay      : 0.033223286 seconds
Root dispersion : 0.037000805 seconds
Update interval : 129.4 seconds
Leap status     : Normal

Se o NTP não estiver configurado, configure um servidor NTP e valide:

chronyc add server 10.10.10.1 prefer
systemctl restart chronyd
chronyc tracking

2. Verifique o status da autenticação do MDM:

scli --query_all | grep -i "MDM connection"

Exemplo:

scli --query_all | grep -i "MDM connection"
MDM connection authentication: Enabled

3. Se a autenticação MDM estiver ativada, desative temporariamente a autenticação MDM antes de prosseguir com a conversão do sistema operacional:

scli --set_component_authentication_properties --dont_use_authentication

Exemplo:

scli --query_all | grep -i "MDM connection" 
MDM connection authentication: Disabled

4. Execute a conversão do SO usando PFMP.

5. Verifique se os SDSs ficam on-line após a conversão. Prevista para: Os SDSs mostram um status Conectado:

scli --query_all_sds

6. Reative a autenticação do MDM após uma reconexão bem-sucedida dos SDSs, se necessário:

scli --set_component_authentication_properties --use_authentication

7. Verifique se os SDSs permanecem on-line com a autenticação habilitada. Prevista para: Os SDSs mostram um status Conectado: 

scli --query_all_sds

8. Para gerar novamente os certificados para um ou todos os SDSs:

For a Single SDS:
scli --generate_certificate --sds_id 39c9b4dc00000003--i_am_sure

For All SDS's:
for sds_id in $(scli --query_all_sds | grep "SDS ID:" | awk '{print $3}'); do scli --generate_certificate --sds_id $sds_id --i_am_sure; done
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate
Successfully generated a new certificate

Versões afetadas

PFMP 4.6.1