内容

はじめに

前提条件

要件

使用するコンポーネント

設定

コンフィギュレーション

確認

オプションの手順

トラブルシュート

はじめに

このドキュメントでは、Cisco Elastic Services Controller(ESC)で仮想インフラストラクチャマネージャ(VIM)接続用に更新されたOpenstack RESTAPI SSL証明書を追加する手順について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- Cisco Elastic Services Controller

- Cisco VIM/Openstack

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco Elastic Services Controller(ESC)5.10.0.95

- Cisco VIM 4.2.2

注：この手順は、新しいVIMコネクタを追加するときに証明書を新しく追加する場合にも適用できます。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

Openstack RESTAPI SSL証明書（Cisco VIM環境のhaproxy証明書）を更新した後、Elastic Services ControllerはVIM接続が失敗したことを報告します。

[admin@lab-esc-1 ~]$ tail -100f /var/log/esc/yangesc.log

2024-04-09 10:35:36.148 WARN ===== SEND NOTIFICATION STARTS =====

2024-04-09 10:35:36.148 WARN Type: VIM_CONNECTION_STATE

2024-04-09 10:35:36.148 WARN Status: FAILURE

2024-04-09 10:35:36.148 WARN Status Code: 500

2024-04-09 10:35:36.148 WARN Status Msg: VIM Connection State Down

2024-04-09 10:35:36.148 WARN Vim connector id: cvim-openstack-lab

2024-04-09 10:35:36.148 WARN ===== SEND NOTIFICATION ENDS =====

[admin@lab-esc-1 ~]$ sudo escadm vim show

{

"id":"cvim-openstack-lab",

"type":"OPENSTACK",

"last_checked":"2024-04-09T10:35:36.099",

"status":"CONNECTION_FAILED",

"status_message":"Unable to establish VIM connection",

}

コンフィギュレーション

Elastic Services Controllerトラストストアに存在する現在の証明書を一覧表示します。

[admin@lab-esc-1 ~]$ escadm truststore show --verbose

esc, Mar 30, 2024, trustedCertEntry,

cvim-openstack-lab, Apr 4, 2024, trustedCertEntry,

CA証明書ファイルをElastic Services Controller VMにコピー/転送します。

1. アクティブ/スタンバイElastic Services Controllerセットアップの場合は、証明書をアクティブVMにコピーします。

2. アクティブ – アクティブESCセットアップでは、証明書をGeo-PrimaryリーダーVMにコピーします。

escadm truststore add

[admin@lab-esc-1 ~]$ ls -l /home/admin

-rw-r--r--. 1 admin admin 1911 Apr 9 06:20 cvim-openstack-lab-renewed_haproxy.crt

コマンドを実行して、証明書をElastic Services Controllerトラストストアに追加します。

1. ファイル引数は、タイプX.509 v1、v2、およびv3証明書とPKCS#7のCA証明書ファイルを参照します。

2. alias引数は一意であり、この特定のCA証明書に指定される名前を参照します。

[admin@lab-esc-1 ~]$ sudo escadm truststore add --alias cvim-openstack-lab-renewed --file cvim-openstack-lab-renewed_haproxy.crt --verbose

CA certificate "cvim-openstack-lab-renewed" added successfully.

On ESC setup running ETSI, restart ETSI by running "sudo escadm etsi restart". All other components will reload the certificate automatically.

確認

ここでは、設定が正常に機能しているかどうかを確認します。

証明書がElastic Services Controllerトラストストアに正常に追加されるかどうかを確認します。

[admin@lab-esc-1 ~]$ sudo escadm truststore show --verbose

esc, Mar 30, 2024, trustedCertEntry,

cvim-openstack-lab, Apr 4, 2024, trustedCertEntry,

cvim-openstack-lab-renewed, Apr 9, 2024, trustedCertEntry,

VIM接続がアップしているかどうかを確認します。

[admin@lab-esc-1 esc]$ sudo escadm vim show

{

"id":"cvim-openstack-lab",

"type":"OPENSTACK",

"last_checked":"2024-04-09T11:15:57.157",

"status":"CONNECTION_SUCCESSFUL",

"status_message":"Successfully connected to VIM"

}

[admin@lab-esc-1 ~]$ tail -100f /var/log/esc/yangesc.log

2024-04-09 11:15:57.188 INFO ===== SEND NOTIFICATION STARTS =====

2024-04-09 11:15:57.188 INFO Type: VIM_CONNECTION_STATE

2024-04-09 11:15:57.188 INFO Status: SUCCESS

2024-04-09 11:15:57.188 INFO Status Code: 200

2024-04-09 11:15:57.188 INFO Status Msg: VIM Connection State Up

2024-04-09 11:15:57.189 INFO Vim connector id: cvim-openstack-lab

2024-04-09 11:15:57.189 INFO ===== SEND NOTIFICATION ENDS =====

オプションの手順

証明書を更新する場合は、新しい証明書を追加した後にVIM接続が起動していることを確認してから、古い証明書を削除します。

[admin@lab-esc-1 ~]$ sudo escadm truststore delete --alias cvim-openstack-lab --verbose

CA certificate "cvim-openstack-lab" deleted successfully

[admin@lab-esc-1 ~]$ sudo escadm truststore show --verbose

esc, Mar 30, 2024, trustedCertEntry,

cvim-openstack-lab-renewed, Apr 9, 2024, trustedCertEntry,

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

Elastic Services Controllerトラストストアは、新しいトラストストアを追加すると自動的にリロードされるため、VIM接続は自動的に起動する必要があります。障害が発生した場合にトラブルシューティングを行うには、escmanagerログを確認します。

[admin@lab-esc-1 ~]$ tail -100f /var/log/esc/escamanager.log

2024-04-09 11:15:55.369 INFO [SslManager.java:run:262] Change of type ENTRY_MODIFY is detected on truststore. Trigger reloading.

2024-04-09 11:15:55.370 INFO [SslManager.java:loadESCTruststore:215] ESC truststore file loaded successfully.

2024-04-09 11:15:55.375 INFO [SslManager.java:loadESCTruststore:226] Added Java default Root CA certificates: 136

2024-04-09 11:15:55.376 INFO [VimUtils.java:reloadVimManagerTrustStore:1057] Starting request to reload VimManager truststore.

2024-04-09 11:15:55.430 INFO [VimUtils.java:reloadVimManagerTrustStore:1065] Completed request to reload vimManager truststore.

2024-04-09 11:15:55.430 INFO [SslManager.java:run:270] Reloading of truststore is done.

2024-04-09 11:15:57.183 INFO [VimAuthenticationService.java:updateVimStatusFromNotification:709] Vim status message: VIM reachable; connection state: CONNECTED

2024-04-09 11:15:57.183 INFO [VimAuthenticationService.java:processVimStatusNotification:784] Sending VIM Status notification for vim cvim-openstack-lab, status CONNECTION_SUCCESSFUL

2024-04-09 11:16:31.428 INFO [VimUtils.java:getAuthStatusById:1077] VIM ID - cvim-openstack-lab, VimInfo is : VimInfoHolder [vimStatus=VIM_STATUS_REACHABLE, vimUserStatus=VIM_USER_STATUS_AUTHENTICATED, ts=2024-04-09T11:15:57.157]