17.3.3.4. Tang 서버의 영구적인 키 재지정 오류 문제 해결

프로세스

1. 데몬 세트에 정의된 대로 각 Tang 서버의 구성에 대해 간단한 암호화 및 암호 해독 작업을 수행하여 Tang 서버 구성을 확인합니다.

   이는 잘못된 지문이 있는 암호화 및 암호 해독 시도의 예입니다.

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver02:7500","thp":"badthumbprint"}' | \
     clevis decrypt

   출력 예

   Unable to fetch advertisement: 'http://tangserver02:7500/adv/badthumbprint'!

   올바른 지문이 있는 암호화 및 암호 해독 시도의 예입니다.

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver03:7500","thp":"goodthumbprint"}' | \
     clevis decrypt

   출력 예

   okay

2. 근본 원인을 확인한 후 기본 상황을 해결합니다.

   1. 작동하지 않는 데몬 세트를 삭제합니다.

   2. 데몬 세트 정의를 편집하여 기본 문제를 해결합니다. 여기에는 다음 작업이 포함될 수 있습니다.

      • Tang 서버 항목을 편집하여 URL과 지문을 수정합니다.
      • 더 이상 서비스 중이 아닌 Tang 서버를 제거합니다.
      • 해제된 서버를 대체하는 새 Tang 서버를 추가합니다.
3. 업데이트된 데몬 세트를 다시 배포합니다.

1. 데몬 세트에서 생성한 컨테이너의 이름을 찾습니다.

   $ oc get pods -A | grep tang-rekey

   출력 예

   openshift-machine-config-operator  tang-rekey-7ks6h  1/1  Running   20 (8m39s ago)  89m

2. 컨테이너에서 로그를 출력합니다. 다음 로그는 성공적인 키 재지정 작업에서 가져온 것입니다.

   $ oc logs tang-rekey-7ks6h

   출력 예

   Current tang pin:
   1: sss '{"t":1,"pins":{"tang":[{"url":"http://10.46.55.192:7500"},{"url":"http://10.46.55.192:7501"},{"url":"http://10.46.55.192:7502"}]}}'
   Applying new tang pin: {"t":1,"pins":{"tang":[
     {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
     {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
     {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
   ]}}
   Updating binding...
   Binding edited successfully
   Pin applied successfully