Active IQ Unified Manager Linux 升级失败，GPG 检查失败并删除现有安装

原因

• Active IQ Unified Manager Linux 包在设计上未进行 GPG 签名。真实性改为通过单独下载的代码签名证书和数字签名进行验证。
• 当主机对本地包执行 GPG 检查时，未签名的包将无法通过检查，升级事务不会安装新包。此强制设置通过 localpkg_gpgcheck=1 在 /etc/dnf/dnf.conf 中配置，通常由 CIS 加固或 Spacewalk 或 Red Hat Satellite 托管配置应用。
• 升级脚本未检测到包安装失败并继续执行。它会切换默认 Java 并删除较旧的 Java，这会将先前安装的 Active IQ Unified Manager 包作为依赖项删除并运行其卸载脚本。该脚本会删除数据目录 /opt/netapp/data。
• 结果是主机上既未安装旧产品也未安装新产品，且数据目录为空。

解决方案

警告： 失败的尝试将删除现有安装并擦除 /opt/netapp/data。在重试之前，请获取虚拟机快照或已验证的数据库备份。

1. 从升级前快照或备份还原虚拟机或 Active IQ Unified Manager 数据库。
2. 使用下载页面中的代码签名证书和数字签名验证已下载的与操作系统匹配的安装文件：
   openssl x509 -pubkey -noout -in <code-signing-cert>.pem > aiqum_pubkey.pem
openssl dgst -sha256 -verify aiqum_pubkey.pem -signature <digital-signature>.sig <installation-file>
   结果为 Verified OK 表示文件为真实文件。
3. 备份当前包管理器配置：
   cp -p /etc/dnf/dnf.conf /etc/dnf/dnf.conf.preaiqum
4. 确认当前设置：
   grep -E 'gpgcheck|localpkg_gpgcheck' /etc/dnf/dnf.conf
5. 在 [main] 的 /etc/dnf/dnf.conf 部分中，将本地包检查设置为关闭：
   localpkg_gpgcheck=0
6. 运行升级：
   ./upgrade.sh
7. 在信任结果之前，确认已安装的新包：
   rpm -q netapp-um
8. 还原原始配置：
   cp -p /etc/dnf/dnf.conf.preaiqum /etc/dnf/dnf.conf

注意：在由 Spacewalk 或 Red Hat Satellite 管理的主机上，可能会集中推送配置并自动还原。请与 Linux 管理团队协商，以确保更改在升级期间持续有效，且不会在事务处理过程中被还原。

合作伙伴备注

追加信息

• localpkg_gpgcheck 选项用于管理从本地文件安装的软件包的 GPG 检查，这是 Active IQ Unified Manager 软件包的安装方式（@commandline）。它与适用于已配置存储库中软件包的 gpgcheck 选项是分开的。
• Unified Manager 使用的挂载路径不应使用 nosuid 或 noexec 选项，因为这些选项可能会导致 Active IQ Unified Manager 无法正常运行。

内部参考

• 已在案例 2010713165 (Exelon) 中确认。9.18P1 尝试（6 月 2 日）和 9.18P2 尝试（6 月 19 日）以相同方式失败。6 月 19 日的控制台捕获是最终特征：Error: GPG check FAILED 随后删除 java-11-openjdk，级联删除 netapp-um 9.16 和 Removing data directory: /opt/netapp/data。
• 客户确认禁用本地 GPG 检查解决了升级问题。
• 主机已加固并由 Spacewalk 管理（Carbon Black App Control、noexec on /tmp，通过 selinux=0 禁用 SELinux，ext4 数据卷）。noexec /tmp 条件曾被怀疑，但已排除；该问题已独立修正，故障仍然存在（请参见 CPE-226 和 CPE-152，其中 noexec 也已被排除）。
• 产品缺陷候选项：RPM 事务失败时 upgrade.sh 不会中止。它会继续执行破坏性的 Java 切换，该切换会删除正常运行的安装并清除数据目录。安装失败时应在修改现有安装之前停止。