【Azure微服务 Service Fabric 】因证书过期导致Service Fabric集群挂掉（升级无法完成，节点不可用）

问题描述

创建Service Fabric时，证书在整个集群中是非常重要的部分，有着用户身份验证，节点之间通信，SF升级时的身份及授权认证等功能。如果证书过期则会导致节点受到影响集群无法正常工作。

当证书过期或吊销后，通常出现的问题为：

• Service  Fabric群集无法使用升级服务
• Service  Fabric Explorer无法连接
• 节点全部停用，无法查看到任何节点信息

 

当出现以上的情况，最快的办法为新建全新的Service Fabric集群，这也是最高效的一种办法。为了预防证书过期的情况发送，有以下两点建议：

一：在Key Vault中创建证书时候，选择自动续订新版本证书。

二：而如果没有自动续订新版本证书，则需指定维护计划，在证书过期之前就更新证书。而Service Fabric更换安全证书的过程，首先您需要把新的证书上传到key vault中，然后通过powershell或者模板的方式为群集添加辅助证书，然后在Portal操作切换证书。

添加辅助证书请参考：（在当前Service Fabric的资源组中导出模板，对certificateSecondary节点进行修改）

​ ​https://docs.microsoft.com/zh-cn/azure/service-fabric/service-fabric-cluster-security-update-certs-azure#add-a-secondary-certificate-using-resource-manager-powershell​​

 

​ ​https://docs.microsoft.com/en-us/powershell/module/az.servicefabric/add-azservicefabricclustercertificate?view=azps-1.0.0​​

当完成辅助证书添加后，可以在门户中看见两个证书，点击红框中的...来交换主要/辅助证书。

 

使用Powershell命令加载次要证书 (Secondary Certificate):

 

登录后复制

      
      

       
       Connect-AzAccount -Environment AzureChinaCloud
       
       

       
       
Select-AzSubscription -Subscription 'subscription id'
       
       

       
       
Add-AzServiceFabricClusterCertificate -ResourceGroupName 'sf2-rg' -Name 'lbcerttest02' -SecretIdentifier 'https://yourkeyvault.vault.azure.cn/secrets/cert name/<secret identifier>'
       
       
###################### CLI命令
       
       

       
       
az login
       
       

       
       
az sf cluster certificate add -g sf-rg -c lbcerttest01 --secret-identifier 'https://yourkeyvault.vault.azure.cn/secrets/cert name/<secret identifier>'
      
      
      
      

       
       
1.
       
       
2.
       
       
3.
       
       
4.
       
       
5.
       
       
6.
       
       
7.
       
       
8.
       
       
9.
       
       
10.
      
      

执行命令参考：

执行Add-AzServiceFabricClusterCertificate命令后的提示进度如下：

 

参考链接：

####

​ ​Add-AzServiceFabricClusterCertificate​​​: Add a secondary cluster certificate to the cluster, ​ ​https://docs.microsoft.com/en-us/powershell/module/az.servicefabric/add-azservicefabricclustercertificate?view=azps-5.2.0​​

####

​ ​az sf cluster certificate add:​​​ Add a secondary cluster certificate to the cluster. ​ ​https://docs.microsoft.com/en-us/cli/azure/sf/cluster/certificate?view=azure-cli-latest#az_sf_cluster_certificate_add​​

####

管理SF群集证书的文档可以参考：​ ​https://docs.azure.cn/zh-cn/service-fabric/service-fabric-cluster-security-update-certs-azure​​

 

当在复杂的环境中面临问题，格物之道需：浊而静之徐清，安以动之徐生。 云中，恰是如此!