中央でのUCSM登録問題のトラブルシューティング

はじめに

このドキュメントでは、UCSMをUCS Centralに登録する際の一般的な問題のトラブルシューティング方法について説明します

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco Unified Computing System（UCS）
• UCSセントラル

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Cisco Unified Computing System(UCS)Manager(UCSM)
• ファブリックインターコネクト(FI)
• ESXi VM上で動作するUCS Central

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

トラブルシューティングの方法

トラブルシューティングでは、サードパーティ証明書ではなく、UCSMと中央での自己署名証明書に重点が置かれます

• 基本的なトラブルシューティング
• UCSMがcentralへの登録状態でスタックしている
• アップグレード後にUCSM centralステータスが処理中のままになる
• UCSMの可視性が失われ、
• 確認するログ
• トラブルシューティング コマンド

基本的なトラブルシューティング

次の基本的なチェックが完了していることを確認してください。

• 共有秘密が一致しません。
• UCS Centralデバイスに到達できません。
• UCS CentralのGUIDが、既に登録されているUCS CentralのGUIDと異なります。
• UCSMとUCS Central間で時刻が同期していません。
• UCSMの証明書の有効期限が切れています。
• 既定のキーリング証明書が存在しません。ただし、サードパーティCAをHTTPSに使用できます。UCSM登録ではデフォルトのキーリング証明書を使用するため、削除しないでください。
• UCSMがUCSCからハンドシェイク要求を受信していることを確認します。

Central# connect local-mgmt
Central(local-mgmt)# test ucsm-connectivity <ucsm_ip>

セントラルプロバイダーに正常に登録されているUCSMからのパケットキャプチャ

 UCSMからcentralの登録を解除しないでください。登録を解除すると、すべてのグローバルサービスプロファイルがUCSドメインに対してローカルになります。ローカルのサービスプロファイルを再びグローバルにすることができます。ただし、これは非常に複雑なプロセスであり、サービスに影響を与えます。

UCSMが中央集中型で登録中にスタックする

UCS ManagerがUCS Centralに登録されていて、そのUCS Managerが3.1.1にアップグレードされている場合、UCS Managerは登録状態になり、そこでスタックします。

Central DMEのログに見られるcurlエラーが多すぎる

  9603: [WARN][0x27699940][Apr  5 18:00:54.714][write:net]  write of 3752 bytes using curl failed, code=7, error: 'Couldn't connect to server', ep:  https://10.106.74.195:443/xmlInternal/managed-endpoint
9604: [WARN][0x27699940][Apr  5 18:00:54.714][write:net]  non-critical curl write error.

UCSM DMEから

[INFO][0x682ffb90][Nov  1 16:05:24.886][sam_sec:check_cert_val] X509_verify_cert_error_string - ok
[INFO][0x682ffb90][Nov  1 16:05:24.886][sam_sec:X509VerifyCert] ErrorMsg:ok ErrorNo:0
[INFO][0x682ffb90][Nov  1 16:05:24.886][app_sam_dme:processKey] something wrong with KR-default certificate, status - 18

この問題は、証明書にSHA1ではなく古いMDSハッシュを使用するUCSMが原因である可能性があります

[WARN][0x674ffb90][Nov 22 19:11:49.227][net:write] write of 546 bytes using curl failed, code=60, error: 'Peer certificate cannot be authenticated with given CA certificates(SSL certificate problem: self signed certificate)', ep:  https://10.106.74.234:443/xmlInternal/service-reg
[INFO][0x674ffb90][Nov 22 19:11:49.227][net:certFailure] certificate is bad for connection to ' https://10.136.58.4:443/xmlInternal/service-reg';

UCS ManagerがUCS Centralに正常に登録され、証明書エラーが修正されるため、次の回避策を実行します

デフォルトのキーリングは、UCS Central CLIのデバイスプロファイルセクションで再生成できます。

connect policy-mgr
 scope org
 scope device-profile
 scope security
 scope keyring default
 set regenerate yes
 commit-buffer

回避策で解決しない場合は、Cisco TACにケースを提出して、さらに検証を行ってください

 

UCS ManagerがUCS Centralに最初に登録されたバージョンが2.1.3以下の場合。3.1.1へのアップグレード中も、前述の登録の問題が発生します。

UCS 2.1.3以前のリリースでは、UCSMは証明書を分割しないため、このTACの関与が必要です。TACでは、証明書への正しいソフトリンクを作成するために、証明書を再ハッシュする必要があります。

アップグレード後にUCSM centralステータスが処理中のままになる

この問題は、中央データベースとUCSデータベースが同期していないことに起因します

リソースマネージャのログに次のエラーが表示される

[WARN][0xbbce9940][Aug 11 10:23:18.194][storeMo:mit_init] SQL error [SQLParamData failure: Error while executing the query (non-fatal);
ERROR:  duplicate key value violates unique constraint "InstanceId2DN_dn_key"] stmt [INSERT INTO "InstanceId2DN"("instanceId","dn","className","parent") VALUES (?,?,?,?)]
[INFO][0xbbce9940][Aug 11 10:23:18.194][report:exception_handl] FATAL[3|150] /ramfs/buildsa/150407-104741-rev219791-FCSa/resMgr/sam/src/lib/framework/core/sql/MitDbImpl.cc(1167):storeMo: Failed to connect to database. Transaction aborted.
[INFO][0xbbce9940][Aug 11 10:23:18.201][report:exception_handl] ERROR[3|150] /ramfs/buildsa/150407-104741-rev219791-FCSa/resMgr/sam/src/lib/framework/core/proc/Doer.cc(795):exceptionCB: exception encountered during processing: "Failed to connect to database. Transaction aborted." [150] Failed to connect to database. Transaction aborted.
[INFO][0xbbce9940][Aug 11 10:23:18.201][failedCb:tx] TX FAILED

これはデータベース同期の問題です。Cisco TACにケースを提出して、さらに検証してください

UCSMの可視性が失われる（中央サイト）

登録ステータスの確認

「lost-visibility」と表示された場合、UCS Centralは1つ以上の必要なポートで到達できません。UCS CentralがフラッシュGUI(Flex)を使用している場合、これらのポートはCentral(443、80、843)に対して開いている必要があります。HTML GUIに必要なのはポート443だけです。

確認するログ

UCSM

/var/sysmgr/sam_logs/pa_setup.log
svc_sam_dme.log files on FI

セントラル

Svc_dme_reg.log

トラブルシューティング コマンド

Central# connect policy-mgr
Central# scope org
Central# scope device-profile
Central# scope security
Central# Show keyring detail

UCSM# scope system 
UCSM# scope security 
UCSM# show keyring detail 
connect local-mgmt
telnet <Central IP> <port>
^ (Shift+6) ] with no spaces to exit

  FSM status
       scope system
       scope control-ep policy
       show fsm status

Central# connect service-reg 
Central(service-reg)# show fault
Central(service-reg)# show clients detail  
Registered Clients:
    ID: 1008
    Registered Client IP: 10.106.74.194
    Registered Client IPV6: ::
    Registered Client Connection Protocol: Ipv4
    Registered Client Name: DCN-INDIA-FI-A
    Registered Client GUID: e832cfc2-548b-11e4-b8f2-002a6a6f6dc1
    Registered Client Version: 2.2(6g)
    Registered Client Type: Managed Endpoint
    Registered Client Capability: Policy Client Module
    Registered Client Last Poll Timestamp: 2016-12-08T12:33:36.417
    Registered Client Operational State: Registered
    Registered Client Suspend State: Off
    Registered Client License State: License Graceperiod
    Registered Client grace period used: 33
    Registered Client Network Connection State: Connected

既知の障害

• Cisco Bug ID CSCuy07652 ECMR6からDelmar-mr2へのdwngard-upgradeによってドメインが「登録」されます。
  
  
• Cisco Bug ID CSCuv07227 ファームウェアのアップグレード中にUCSMの再登録が失敗する
  
  
• Cisco Bug ID CSCuu91088 Centralでインベントリを更新できない
  
  
• Cisco Bug ID CSCut72698 の「低帯域幅環境のclassic ucsでのreport-full-inventory-failed」

関連情報

Cisco UCS CentralへのCisco UCSドメインの登録 

更新履歴

改定	発行日	コメント
1.0	21-Dec-2016	初版