Срок действия SSL-сертификата шлюза PowerFlex истекает каждые 90 дней, что приводит к сбою драйвера CSI.
Сводка: Срок действия сертификата SSL (Secure Sockets Layer) шлюза PowerFlex истекает каждые 90 дней. Это влияет на драйвер интерфейса хранилища контейнеров (CSI) для развертываний PowerFlex, использующих этот сертификат. ...
Симптомы
Когда срок действия секрета, содержащего сертификат, истекает, это приводит к сбоям развертывания драйвера. Модули узла драйверов PowerFlex и модули контроллеров находятся в "CrashLoopBackOff" state, так как они не могут проверить сертификат. Пользователи не могут предоставить ресурсы.
Отображаются все поды "CrashLoopBackOff".
В журналах вы увидите "get \https://x.x.x.x/api/login\":tls:failed to verify certification signed by unknow authority
Причина
Эта команда получает сертификат шлюза PowerFlex. Однако срок действия сертификата шлюза PowerFlex истекает каждые 90 дней.
openssl s_client -showcerts -connect <Gateway IP:Port> </dev/null 2>/dev/null | openssl x509 -outform PEM > ca_cert_0.pem
Разрешение
Решение:
Если у пользователей возникают проблемы с доступом к драйверу из-за просроченного или отозванного сертификата, для устранения проблемы выполните следующие действия:
1. Тайно обновите сертификат с помощью следующей команды:
kubectl create secret generic vxflexos-certs-0 -n vxflexos --from-file=cert-0=ca_cert_0.pem -o yaml --dry-run | kubectl replace -f -
2. Перезапустите драйвер, чтобы убедиться, что для проверки сертификата SSL, возвращенного сервером, используется последний обновленный секрет.
Эти действия помогают гарантировать, что драйвер сможет установить безопасные соединения с сервером, используя обновленный сертификат.
Если секрет содержит SSL-сертификат шлюза PowerFlex и пользователь хочет заменить его корневым сертификатом центра сертификации (CA) платформы:
1. Получите сертификат (корневой источник сертификатов платформы) с помощью следующей команды:
kubectl get secret -n powerflex ca-key-secret -o json -o=jsonpath="{.data.tls\.crt}" | base64 -d > ./pfmp_platform_ca.crt
2. Замените секрет.
3. Затем перезапустите драйвер, удалив модули драйверов. Все поды должны находиться в режиме Running, но ни один из них не должен быть в "CrashLoopBackOff" Государства.
Разрешение:
Ожидается, что эта проблема будет устранена в PowerFlex 4.6.x.