证书问题 - Service Fabric 卡在“等待节点”

如何解决证书问题 - Service Fabric 卡在“等待节点”

我正在使用 ARM 模板部署 Service Fabric 群集。

使用自签名证书时，一切都很好。集群已创建，所有节点均正常运行。

但是当我对链式证书执行相同操作时，集群陷入“等待节点”状态。

当我在任何节点上检查证书的有效性时，我可以确认整个链是可信的。

Certificate Chain - Screenshot

查看 Windows 事件日志时，我看到以下条目。

警告 - “请求失败：PUT https://westeurope.servicefabric.azure.com/runtime/clusters//nodes/（CorrelationId=,UtcTime=06/02/2021 07:18:01,Certificate=） {"nodeTypeRef":"xxxx","ipAddress":"","faultDomain":"4","upgradeDomain":"4","zone":"","location":"","infrastructurePlacementID": "","faultDomainOverride":"","upgradeDomainOverride":"","coordinationGroupID":""}"

警告 - “System.Exception：System.Net.WebException：远程服务器返回错误：(401) 未经授权。 在 System.Net.HttpWebRequest.GetResponse() 在 Microsoft.Azure.ServiceFabric.Extension.Core.RestClient.Invoke(Uri requestUri,String method,String requestBody,X509Certificate2 clientCertificate) 在 Microsoft.Azure.ServiceFabric.Extension.Core.RestClient.Invoke(Uri requestUri,List`1 clientCertificates)

在 Microsoft.Azure.ServiceFabric.Extension.Core.RestClient.Invoke(Uri requestUri,List`1 clientCertificates) 在 Microsoft.Azure.ServiceFabric.Extension.Core.WrpTopologyService.UpdateNodeInfo(String machineName,NodeDescription nodeDescription) 在 Microsoft.Azure.ServiceFabric.Extension.Core.NodeBootstrapAgent.UpdateNodetopology(String nodeName)"

警告 - “错误：Microsoft.Azure.ServiceFabric.Extension.Core.AgentException：System.Net.WebException：远程服务器返回错误：(401) 未经授权。 在 System.Net.HttpWebRequest.GetResponse() 在 Microsoft.Azure.ServiceFabric.Extension.Core.RestClient.Invoke(Uri requestUri,List`1 clientCertificates)

在 Microsoft.Azure.ServiceFabric.Extension.Core.NodeBootstrapAgent.UpdateNodetopology(String nodeName) 在 Microsoft.Azure.ServiceFabric.Extension.Core.NodeBootstrapAgent.d__100.MoveNext() --- 从上一个抛出异常的位置开始的堆栈跟踪结束 --- 在 System.Runtime.ExceptionServices.ExceptiondispatchInfo.Throw() 在 System.Runtime.CompilerServices.TaskAwaiter.HandleNonSuccessAndDebuggerNotification(Task task) 在 Microsoft.Azure.ServiceFabric.Extension.Core.NodeBootstrapAgent.d__95.MoveNext()"

警告 - “请求失败：POST https://westeurope.servicefabric.azure.com/runtime/clusters/GUID/nodes/NodeInstance/vmextensionRepair（CorrelationId=,Certificate=） {"sequenceNumber":"0","output":""}"

错误 - “无法处理临时修复响应：System.Exception：System.Net.WebException：远程服务器返回错误：(401) 未经授权。 在 System.Net.HttpWebRequest.GetResponse() 在 Microsoft.Azure.ServiceFabric.Extension.Core.RestClient.Invoke(Uri requestUri,List`1 clientCertificates) 在 Microsoft.Azure.ServiceFabric.Extension.Core.WrpTopologyService.GetAdHocRepairPollResponse(String machineName,VmExtensionAdHocRepairPollRequest 请求) 在 Microsoft.Azure.ServiceFabric.Extension.Core.Repairstrategy.AdHocRepairHandler.PollSFRPForRepair()"

更新： 在我的原始帖子之后，我尝试使用预期的生产证书通过 Azure 门户创建一个集群。我首先手动创建了一个密钥保管库，然后将证书上传为 .pfx。我跟着向导，低头看，它奏效了。唯一的区别是它现在通过指纹而不是通用名称来引用证书（因为 Azure 门户中没有其他选项可以告诉它）。

Reference by thumbprint

因此，当我们使用预期的生产证书通过 ARM 模板进行部署时，它不起作用，但具有自签名证书的相同 ARM 模板起作用。使用预期的生产证书通过 Azure 门户手动执行此操作也有效。这真是令人困惑！