18.3.3.4. Tang サーバーの永続的な再生成エラーのトラブルシューティング

手順

1. デーモンセットの定義に従って各 Tang サーバーの設定に対して単純な暗号化および復号化操作を実行して、Tang サーバー設定を検証します。

   これは、不適切なサムプリントで暗号化および復号化を試行する例です。

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver02:7500","thp":"badthumbprint"}' | \
     clevis decrypt

   出力例

   Unable to fetch advertisement: 'http://tangserver02:7500/adv/badthumbprint'!

   これは、正常なサムプリントで暗号化および復号化を試行する例です。

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver03:7500","thp":"goodthumbprint"}' | \
     clevis decrypt

   出力例

   okay

2. 根本的な原因を特定した後に、その原因となる状況に対応します。

   1. 機能しないデーモンセットを削除します。

   2. デーモンセットの定義を編集して基礎となる問題を修正します。これには、以下のアクションのいずれかが含まれる場合があります。

      • Tang サーバーのエントリーを編集して URL とサムプリントを修正します。
      • 使用されなくなった Tang サーバーを削除します。
      • 使用停止したサーバーの代わりとなる、新規の Tang サーバーを追加します。
3. 更新されたデーモンセットを再度配布します。

1. デーモンセットによって作成されたコンテナーの名前を見つけます。

   $ oc get pods -A | grep tang-rekey

   出力例

   openshift-machine-config-operator  tang-rekey-7ks6h  1/1  Running   20 (8m39s ago)  89m

2. コンテナーからログを印刷します。キーの再生成操作に成功すると、以下のログのようになります。

   $ oc logs tang-rekey-7ks6h

   出力例

   Current tang pin:
   1: sss '{"t":1,"pins":{"tang":[{"url":"http://10.46.55.192:7500"},{"url":"http://10.46.55.192:7501"},{"url":"http://10.46.55.192:7502"}]}}'
   Applying new tang pin: {"t":1,"pins":{"tang":[
     {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
     {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
     {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
   ]}}
   Updating binding...
   Binding edited successfully
   Pin applied successfully