Аварийное восстановление Hosted HOSTVM Manager и хостов с истекшими сертификатами

Данное руководство описывает исключительно экстренное восстановление кластера при полной потере управления из-за истекших сертификатов.

Во избежание конфликтов ресурсов и обеспечения корректного процесса восстановления необходимо отключить все гипервизоры в кластере, за исключением того, на котором непосредственно проводятся восстановительные работы.

Подключитесь к консоли гипервизора и проверьте дату истечения сертификата гипервизора

openssl x509 -noout -enddate -in /etc/pki/vdsm/certs/vdsmcert.pem

Для изменения системного времени остановите службу синхронизации времени

 systemctl stop chronyd

Вручную установите дату соответствующую следующим параметрам:

• Дата должна быть раньше даты истечения срока действия сертификата.

• Дата должна быть не ранее, чем за 60 дней до момента его окончания.

Выполните в терминале команду, указав в качестве параметра рассчитанную корректную дату и время:

timedatectl set-time "2025-01-01 12:00:00"

Перезапустите ключевые службы, чтобы они использовали «актуальный» с точки зрения системы сертификат

systemctl restart libvirtd
systemctl restart vdsmd

Запустите виртуальную машину Hosted HOSTVM Manager

hosted-engine --vm-start

Дождитесь завершения операции. Проверьте статус ВМ:

hosted-engine --vm-status

Для дополнительной проверки используйте virsh. Данные для подключения находятся в файле /etc/ovirt-hosted-engine/virsh_auth.conf

virsh list --all

После успешного запуска HOSTVM Manager и появления доступа к панели администратора выполните штатное обновление сертификатов на Hosted HOSTVM Manager по инструкции: Обновление сертификатов HOSTVM Manager

Обновите сертификаты на хосте с запущенной управляющей машиной воспользовавшись следующей инструкции: Как обновить сертификаты с истекшим сроком действия

После успешного обновления сертификатов на управляющей машине и гипервизоре обязательно верните корректное системное время и включите синхронизацию

systemctl start chronyd
timedatectl set-ntp on

После синхронизации времени обязательно перезапустите службы, чтобы они работали с новыми сертификатами уже в корректном времени

systemctl restart vdsmd libvirtd

Включите все остальные гипервизоры кластера и обновите сертификаты на них через административную панель используя инструкцию: Обновление сертификатов хостов через панель администрирования