Active IQ Unified Manager Linux のアップグレードが GPG チェック FAILED で失敗し、既存のインストールが削除される

原因

• Active IQ Unified Manager Linuxパッケージは、設計上GPG署名されていません。真正性は、別途ダウンロードしたコード署名証明書とデジタル署名によって検証されます。
• ホストがローカルパッケージに対してGPGチェックを強制する場合、署名されていないパッケージはチェックに失敗し、アップグレードトランザクションは新しいパッケージをインストールしません。この強制はlocalpkg_gpgcheck=1で/etc/dnf/dnf.confに設定されており、CISのセキュリティ強化、またはSpacewalkやRed Hat Satelliteによる管理構成によって一般的に適用されます。
• アップグレードスクリプトはパッケージのインストール失敗を検出せず、処理を続行します。デフォルトのJavaを切り替えて古いJavaを削除すると、以前にインストールされていたActive IQ Unified Managerパッケージが依存関係として削除され、そのアンインストールスクリプトレットが実行されます。そのスクリプトレットはデータディレクトリ/opt/netapp/dataを削除します。
• その結果、ホストには旧製品も新製品もインストールされておらず、データディレクトリも空の状態になります。

解決策

警告：試行が失敗すると、既存のインストールが削除され、/opt/netapp/dataが消去されます。再試行する前に、仮想マシンのスナップショットを作成するか、検証済みのデータベースバックアップを作成してください。

1. アップグレード前のスナップショットまたはバックアップから、仮想マシンまたはActive IQ Unified Managerデータベースをリストアします。
2. ダウンロード ページにあるコード署名証明書とデジタル署名を使用して、対応するオペレーティング システム用のダウンロードしたインストール ファイルを検証します：
   openssl x509 -pubkey -noout -in <code-signing-cert>.pem > aiqum_pubkey.pem
openssl dgst -sha256 -verify aiqum_pubkey.pem -signature <digital-signature>.sig <installation-file>
Verified OKという結果が表示されれば、ファイルが本物であることが確認されます。
3. 現在のパッケージ マネージャーの設定をバックアップします：
   cp -p /etc/dnf/dnf.conf /etc/dnf/dnf.conf.preaiqum
4. 現在の設定を確認します：
   grep -E 'gpgcheck|localpkg_gpgcheck' /etc/dnf/dnf.conf
5. /etc/dnf/dnf.confの[main]セクションで、ローカル パッケージのチェックをオフに設定します：
   localpkg_gpgcheck=0
6. アップグレードを実行します：
   ./upgrade.sh
7. 結果を信頼する前に、新しいパッケージがインストールされたことを確認します：
   rpm -q netapp-um
8. 元の設定をリストアします：
   cp -p /etc/dnf/dnf.conf.preaiqum /etc/dnf/dnf.conf

注記： Spacewalk または Red Hat Satellite によって管理されているホストでは、設定が一元的にプッシュされ、自動的に元に戻される可能性があります。変更がアップグレード期間中有効であり、トランザクションの途中で元に戻されないように、Linux 管理チームと連携してください。

パートナーノート

追加情報

• localpkg_gpgcheckオプションは、ローカルファイルからインストールされたパッケージのGPGチェックを制御します。これはActive IQ Unified Managerパッケージのインストール方法です（@commandline）。これは、設定済みのリポジトリからのパッケージに適用されるgpgcheckオプションとは別のものです。
• Unified Managerが使用するマウントパスには、nosuidまたはnoexecオプションを使用しないでください。これらのオプションを使用すると、Active IQ Unified Managerが正常に機能しなくなる可能性があります。

内部情報

• ケース番号2010713165（Exelon）で確認済み。9.18P1の試行（6月2日）と9.18P2の試行（6月19日）は、いずれも同じように失敗した。6月19日のコンソールキャプチャが決定的なシグネチャです：Error: GPG check FAILEDに続いてjava-11-openjdkの削除、連鎖的にnetapp-um 9.16およびRemoving data directory: /opt/netapp/dataの削除。
• 顧客は、ローカルGPGチェックを無効にすることでアップグレードの問題が解決したことを確認した。
• ホストは強化され、Spacewalkで管理されています（Carbon Black App Control、noexec上の/tmp、selinux=0経由でSELinuxを無効化、ext4データボリューム）。noexec /tmpの状態が疑われたが除外された。当該状態は独自に修正されたが、不具合は解消されなかった（noexecも除外されたCPE-226およびCPE-152を参照）。
• 製品欠陥候補：upgrade.shはRPMトランザクションが失敗した場合でも処理を中断しない。次に、動作中のインストールを削除し、データディレクトリを消去する破壊的なJavaスイッチが実行される。インストールが失敗した場合は、既存のインストールを変更する前に処理を停止する必要がある。