ESXi ホストの clusterAgent.log に "transport: authentication handshake failed: x509: certificate specifies an incompatible key usage" が大量に出力される

Products

• VMware vSphere ESX 8.x

Issue/Introduction

免責事項： これは英文の記事 ESXi host logs are flooded with "transport: authentication handshake failed: x509: certificate specifies an incompatible key usage" in clusterAgent.log の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

ESXi ホストにおいて、/var/run/log/clusterAgent.log または /var/run/log/clusterAgent.stderr に過剰なログが記録される場合があります。
このログスパムは急速に増大し、RAMディスクや OSDATA パーティションを枯渇させる可能性があり、結果としてホスト管理の不安定化を招きます。

通常、ログには以下のエラーが含まれます：

WARN grpc: addrConn.createTransport failed to connect to {<IP>:xxxx...}. Err :connection error: desc = "transport: authentication handshake failed: x509: certificate specifies an incompatible key usage". Reconnecting...

Environment

VMware vSphere ESXi: 7.x および 8.x

Cause

clusterAgent サービスは、Tanzu / スーパーバイザー クラスタの管理に使用される、ESXi 7.x および 8.x のデフォルト コンポーネントです。
このサービスは、ローカルの API エンドポイントへの安全な接続の確立を試みます。
ESXi ホストの証明書に特定の「サーバー認証 (Server Authentication)」の拡張キー使用法 (EKU) 属性が含まれていない場合、Go ベースのエージェントは TLS ハンドシェイクに失敗します。

Tanzu が使用されていない場合でも、サービスは「再接続ループ」の状態でアクティブなままになり、初期化を試行し続けるため、継続的にログ エントリが生成される場合があります。

Resolution

vSphere with Tanzu が利用されていない環境では、ログの枯渇を防ぐために clusterAgent サービスを安全に停止および無効化できます。

1. SSH 経由で影響を受ける ESXi ホストにログインします。

2. clusterAgent サービスを停止します：
   /etc/init.d/clusterAgent stop

3. 起動時にサービスが自動的に開始されないように無効化します：
   chkconfig clusterAgent off

4. 既存のログ ファイルをクリアして、ディスク領域を解放します：
  echo > /var/run/log/clusterAgent.log
  echo > /var/run/log/clusterAgent.stderr

Additional Information

サービス名に関する注意事項: ESXi のバージョンによって、/etc/init.d/ 内のサービス名が clusterAgent または cluster-agent となる場合があります。