【v1.6.12 で修正済】【不具合情報】[KE1.6.11] RHEL9 系の冗長構成でパスワードフィールド用の secret key が同期されない

フィックスポイントの高橋です。

不具合情報

Kompira enterprise 1.6.11 に次の不具合が見つかりました。

RHEL9 系の冗長構成でパスワードフィールド用の secret key が同期されない

なお、シングル構成および OS が RHEL8 系の場合においては本不具合は影響しません。

対象バージョン

以下のバージョンが該当します。

KE v1.6.11

症状

本不具合が発生している環境においては、以下のような症状が起きます。

フェイルオーバーすると新たにアクティブとなった系でパスワードフィールドの値が読み込めなくなります。その結果、例えば次のような影響を受けます。
- ブラウザ画面上ではパスワードフィールドは空に見えます。
- パスワードフィールドを持つアカウント情報オブジェクトを用いたリモートジョブに失敗します。
フェイルオーバーした後に新たなアクティブの系でパスワードフィールドを含むオブジェクトを更新すると、フェイルバックした後に元のアクティブ系でそのパスワードフィールドの値が読み込めなくなります。

本不具合が発生している環境でも、フェイルオーバーが起きなければ症状は発現しません。

発生条件

以下のいずれかに該当するとき、本不具合が発生している可能性があります。

RHEL9 系のシステム上で、対象バージョンの Kompira enterprise で冗長構成を新規に構築したとき。

確認方法

冗長構成を構築するそれぞれのノードで、以下のシークレットキーファイルの内容が同一であるか確認してください。内容が同一であれば、不具合は生じていません。

/var/opt/kompira/.secret_key

内容が同一でない場合は不具合が生じていますので、次の復旧方法を実施してください。

復旧方法

復旧手順としては、片方のシークレットキーファイルをもう片方のサーバにコピーして上書きしてください。

このとき、どちらの系のシークレットキーファイルを正として（コピー元として）適用するかは注意して決めてください。たとえば構築後に常に片方の系がアクティブ系であったのであれば、そちらのサーバのシークレットキーを正とするとよいでしょう。

フェールオーバーが発生していて、現スタンバイ（旧アクティブ）状態の系のシークレットキーを正としたい場合は、現スタンバイ（旧アクティブ）のシークレットキーファイルを現アクティブ（旧スタンバイ）にコピーする必要があります。その後、現アクティブで pcs cluster stop を実施して手動で切り替えを行ってください。（その後、スタンバイ側で sync_master.sh を実行してフェールバックします）

正とするシークレットキーファイルを持たない系で新規作成されたオブジェクトにパスワードフィールドが含まれている場合は、復旧後にやはりパスワードフィールドが読み込めなくなりますのでご注意ください。そうした場合は復旧後にオブジェクトを作成しなおしてください。

一度でもフェイルオーバーが起きており、スタンバイ系でもパスワードフィールドを含むオブジェクトを更新している可能性がある場合は、念のため、両系でパスワードフィールドが読み込めるか確認してください。

今後の対応について

KE 1.6.12 において本不具合は修正される予定です。