OceanBase数据库相关问题， 这是啥情况？

根据您提供的日志信息和问题描述，以下是关于“integrity: Unable to open file: /etc/keys/x509_ima.der (-2)”和“integrity: Unable to open file: /etc/keys/x509_evm.der (-2)”的详细分析与解决方案：

问题现象

在OceanBase数据库运行环境中，您可能在内核日志（通过dmesg命令查看）中发现了以下提示信息：

[ 1.814091] integrity: Unable to open file: /etc/keys/x509_ima.der (-2)
[ 1.814095] integrity: Unable to open file: /etc/keys/x509_evm.der (-2)

这些日志表明系统尝试打开指定路径的文件（/etc/keys/x509_ima.der 和 /etc/keys/x509_evm.der），但未能成功。错误代码(-2)表示文件不存在或无法访问。

问题原因

该问题的根本原因是Alibaba Cloud Linux 2内核启用了以下两个特性： - CONFIG_IMA_LOAD_X509 - CONFIG_EVM_LOAD_X509

这两个特性用于支持内核完整性测量架构（IMA）和扩展验证模块（EVM），并指定了以下路径作为可信证书的存储位置：

CONFIG_IMA_X509_PATH="/etc/keys/x509_ima.der"
CONFIG_EVM_X509_PATH="/etc/keys/x509_evm.der"

• 不可信系统：如果系统未对上述路径中的文件进行配置，则会触发“无法打开文件”的日志提示。
• 可信系统：如果系统已正确配置了相关文件，则不会出现此类日志信息。

此外，您可以通过以下命令判断当前系统是否为可信系统：

ll /dev/tpm*

• 如果输出包含/dev/tpm0或/dev/tpmrm0，则说明系统为可信系统。
• 如果没有相关输出，则说明系统为不可信系统。

解决方案

1. 确认系统类型

首先，执行以下命令检查系统是否为可信系统：

ll /dev/tpm*

• 可信系统：无需进一步操作，日志信息可以忽略。
• 不可信系统：继续参考以下步骤。

2. 忽略日志信息

该问题仅为配置问题，并不会对系统功能或OceanBase数据库的运行造成实际影响。因此，您可以直接忽略这些日志提示信息。

3. 配置相关文件（可选）

如果您希望消除这些日志提示，可以手动创建所需的证书文件。具体步骤如下： 1. 创建目录：

mkdir -p /etc/keys

1. 创建空的证书文件：

   touch /etc/keys/x509_ima.der
   touch /etc/keys/x509_evm.der
   

2. 赋予适当的权限：

   chmod 600 /etc/keys/x509_ima.der
   chmod 600 /etc/keys/x509_evm.der
   

完成上述操作后，重新启动系统以验证日志是否消失。

重要提醒

• 日志无害：这些日志信息仅表明系统尝试加载某些文件失败，但不会对系统或OceanBase数据库的正常运行产生任何负面影响。
• 性能影响：忽略这些日志不会导致性能下降或其他异常行为。
• 可信系统优先：如果您需要更高的安全性，建议使用可信系统并正确配置相关证书文件。

总结

该问题是由Alibaba Cloud Linux 2内核的IMA和EVM特性引起的，属于配置层面的问题。对于不可信系统，您可以选择忽略日志信息，或者通过创建相关文件来消除提示。无论采取哪种方式，都不会对OceanBase数据库的运行造成影响。

如有其他疑问，请随时联系技术支持团队获取进一步帮助。