概要
Deep Security Agent (以下、DSA)を"dsa_control -a"コマンドで有効化する際、以下のようにリトライを繰り返します。
| HTTP Status: 200 - OK Response: Trace settings are currently: * Starting thread 'CScriptThread' with stack size of 1048576 Activation will be re-attempted 30 time(s) in case of failure CHTTP::Disconnect() - the peer closed the socket prior to completing the SSL shutdown handshake. Operation failed, 30 attempts left; will retry in about 300 seconds Operation failed, 29 attempts left; will retry in about 300 seconds Operation failed, 28 attempts left; will retry in about 300 seconds --- 以下、上記の繰り返し --- |
dsa_control.logには、以下のようなエラーが記録されています。
| SSLVerifyCallback() - verify error 19: self signed certificate in certificate chain BioWaitWithTimeout() - Error on select (-1: Socket reset) CHTTP::ReadOneLine() - BIO_gets() returned count of -1. OpenSSL error:14094418:SSL routines:SSL3_READ_BYTES:tlsv1 alert unknown ca [SSL alert number 48] Unable to connect to the agent on the local machine. |
この原因と対処法を教えてください。
詳細
原因
該当エラーの直接的な意味合いとしては、dsa_controlコマンドがDSAサービスとの通信中にDSAの証明書を確認できずに通信を切断した事を示唆しています。
該当エラーは、dsa_controlコマンドがDSAを有効化するためにDSAサービスと通信している最中にDSAサービスが再起動した場合に発生します。
該当エラーは、"dsa_control -a"コマンドを"policyid:"オプション付きで実行した場合に発生する可能性があります。
DSAの有効化時にポリシーを適用すると、適用されるポリシーに必要となるプラグインが同時にインストールされます。
プラグインのインストールには、DSAサービスの再起動を要求されますが、有効化を実行中の通信が終了する前にDSAサービスが再起動した場合、有効化プロセスは完了しているにも関わらず、有効化が失敗したと判断してリトライを試みます。
リトライを試みた際にDSAサービスの再起動が完了していない場合、該当のエラーが発生します。
対処方法
該当エラー自体は無視して問題ありません。"dsa_control -a"コマンドの実行後、正常にDSAが有効化されていれば何の問題も無くDSAを利用できます。
多数のDSAで"dsa_control -a"コマンドによる有効化を実施する際、該当エラーが出力されるのを予防したい場合、以下のように"--max-dsm-retries 0"オプションを追加して不要なリトライを実施させなければ、エラーの出力を回避できます。
dsa_control -a dsm://DSM:4120/ "policyid:xx" --max-dsm-retries 0
