Quando assumi o cargo de meu antecessor na posição atual, herdei um monte de máquinas (como seria de esperar). Um deles foi o ambiente hipervisor oVirt da empresa (em 4.3, em dois servidores) que ele configurou e admito plenamente que nunca me senti confortável com suas entranhas. Infelizmente, surgiu uma situação com a qual tenho que lidar: ou seja, parece que os certificados estão expirando, já que o certificado HTTPS do Virtualization Manager mostra uma data em dezembro e só posso assumir que o resto do sistema está vinculado ao mesmo data. A documentação do oVirt alerta sobre consequências terríveis se você não renovar os certificados antes que eles expirem, então tive que investigar isso e o que descobri não foi tão esclarecedor quanto gostaria.
Algumas informações básicas primeiro. oVirt foi instalado no primeiro host (com o mecanismo, no mesmo hardware bare metal) em janeiro de 2018, e um segundo servidor host físico foi adicionado em março de 2018, no mesmo oVirt Datacenter conjunto. Adicione um domínio de exportação que foi configurado em um antigo servidor de arquivos do Windows que estamos atualmente em processo de descomissionamento (portanto, no longo prazo, será cancelado) e chegaremos ao layout atual: ovirt-engine no servidor primário , um domínio de armazenamento em cada um dos servidores primário e secundário e um domínio de exportação legado em um servidor externo. Conforme mencionado, o certificado no navegador (presumo que esteja vinculado à parte do mecanismo oVirt?) Tem data de expiração no final de dezembro, aproximadamente 3 semanas antes do 5º aniversário da data de configuração do primeiro servidor.
Encontrei um procedimento emhttps://www.ovirt.org/documentation/administration_guide/index.html#chap-Renewing_certificates_RHV_backup_restoreisso parece detalhar o que é necessário, mas isso levantou algumas questões, para as quais eu adoraria que alguém que realmente fez isso antes fornecesse algumas respostas:
- Que tipo de ambiente estou executando, independente e auto-hospedado? De acordo com as definições de arquitetura emhttps://www.ovirt.org/documentation/migrating_from_a_standalone_manager_to_a_self-hosted_engine/, nenhum dos dois parece se ajustar perfeitamente à configuração do meu servidor: estou assumindo que é autônomo porque o mecanismo ovirt parece estar sendo executado no bare metal do servidor host primário, e não como uma VM dentro dele; mas seria bom obter uma segunda opinião.
- Um dos principais benefícios do oVirt é que você pode lançar VMs de um servidor para outro sem problemas - por exemplo, se você estiver atualizando-as e precisar manter as VMs ativas ou os hosts vazios durante o processo (algumas atualizações parecem precisar que você limpe o servidor primeiro?) No entanto, o espaço utilizado dos servidores cresceu desde que foram configurados e não podemos mais ter todas as VMs em execução em uma caixa. Esse era o caso antes de eu assumir, nunca vi o ambiente ter menos de 60% de uso de disco. É possível executar esse procedimento de renovação de certificado apenas desligando/parando as VMs (independentemente de estarem fixadas ou não), bem como potencialmente transferindo algumas para o outro servidor primeiro?
- Quão arriscado isso pode ser para o ambiente oVirt? O guia diz "
The engine-setup script prompts you with configuration questions." Além do óbvio para o qual estou fazendo isso (a questão da renovação de certificados), quanto mais ele vai pedir e como é possível incendiar a instalação se eu fizer algo errado? Quantos campos do certificado terei que fornecer: apenas os valores O e CN ou mais?
Por fim, presumo que terei que fazer os dois hosts primeiro, antes de fazer o mecanismo. Eu deveria ter recebido um lembrete sobre isso no console em algum lugar? Porque eu não tive um; Eu só descobri esse problema por acaso quando estava verificando os certificados SSL em todas as minhas máquinas, após a expiração do certificado de um servidor web (que não foi documentado e, como tal, perdido em uma renovação) no passado recente.
Desde já, obrigado!
Responder1
Que tipo de ambiente estou executando, independente e auto-hospedado?
No contexto oVirt, auto-hospedado significa que o mecanismo oVirt é executado dentro do hipervisor que ele mesmo gerencia. Autônomo refere-se a cenários em que o mecanismo oVirt é executado externamente, por exemplo, em um servidor baremetal dedicado ou em um hipervisor diferente (que pode ser outra tecnologia, como VMWare).
Em outras palavras, se você abrir a GUI do oVirt e encontrar o mecanismo oVirt entre as máquinas virtuais, você terá uma instalação auto-hospedada. Caso contrário, é independente.
É possível fazer este procedimento de renovação de certificado apenas desligando/parando VMs (independentemente de estarem fixadas ou não), bem como potencialmente transferindo algumas para o outro servidor primeiro
Claro. Na verdade, este é o primeiro passo noprocedimento que você vinculou:
No Portal de Administração, clique em Hosts de Computação.
Clique em Manutenção de gerenciamento e em OK. As máquinas virtuais devem migrar automaticamente para fora do host. Se eles estiverem fixados ou não puderem ser migrados, você deverá desligá-los.
Quando o host estiver no modo de manutenção e não houver mais máquinas virtuais restantes neste host, clique em Instalação Registrar Certificado.
Quão arriscado isso pode ser para o ambiente oVirt? O guia diz "O script de configuração do mecanismo solicita perguntas de configuração." Além do óbvio pelo qual estou fazendo isso (a questão da renovação de certificados), quanto mais será solicitado e como é possível incendiar a instalação se eu fizer algo errado? Quantos campos do certificado terei que fornecer: apenas os valores O e CN ou mais?
Não me lembro exatamente o que acontece quando você precisa atualizar um certificado, mas as respostas de configuração do mecanismo com base na sua configuração atual podem ser lidas com cat /var/lib/ovirt-engine/setup/answers/*.conf, para que você possa verificar o conteúdo desse arquivo (ou até copiá-lo no seu laptop) e copie as respostas.
Uma versão (possivelmente mais legível) desses arquivos é fornecida por:
cat /var/lib/ovirt-engine/setup/answers/*.conf | sed 's/str:/ /g' | sort -u
que retorna algo como:
[ambiente: padrão]
# Arquivo de resposta OTOPI, gerado por diálogo humano
QUESTION/1/DWH_VACUUM_FULL= sim
QUESTION/1/ENGINE_VACUUM_FULL= sim
[...]
QUESTION/1/OVESETUP_DWH_ENABLE= sim