RHEL7执行yum update报403禁止、证书过期无可用镜像故障

故障执行过程 #

生产环境RHEL7系统执行yum update命令时触发多类报错，完整执行输出关键信息如下：

• 命令启动后加载amazon-id、product-id、search-disabled-repos、subscription-manager插件，系统提示当前未在授权服务器注册，可通过subscription-manager工具完成注册。
• 拉取epel源metalink信息后，访问首个epel镜像节点时触发报错：[Errno 14] curl#60 - "Peer's Certificate has expired."，系统自动尝试切换其他镜像。

该阶段同步提示无法连接Red Hat服务器的三类可能原因：环境网络需配置代理、存在篡改TLS安全连接的透明代理、系统时钟设置错误，可收集对应环境故障信息后向Red Hat支持提交工单。

• 后续epel、nginx、remi-safe三个软件源元数据正常加载完成，拉取RHUI托管的RHEL7 RH Common仓库元数据时触发报错：[Errno 14] HTTPS Error 403 - Forbidden，系统自动尝试切换所有可用镜像均失败。

该阶段提示可参考官方知识库排查问题，排查后仍无法解决可提交Red Hat支持工单。

执行中断原因 #

yum最终安全终止执行，核心故障点为配置的软件源 Red Hat Enterprise Linux 7 Server - RH Common from RHUI (RPMs) 访问异常，本地无足够缓存数据支撑更新操作继续。
最终抛出的终止错误信息：

failure: repodata/repomd.xml from rhel-7-server-rhui-rh-common-rpms: [Errno 256] No more mirrors to try.
[Errno 14] HTTPS Error 403 - Forbidden

官方修复/临时规避方案 #

• 联系软件源上游运维方修复源端故障。
• 重新配置故障仓库的baseurl等参数，指向可用的上游源地址。若当前使用的发行版版本高于仓库支持的版本，且旧版本包可兼容使用时，该方案通常有效。
• 临时禁用故障仓库执行对应操作，用法示例：

  yum --disablerepo=rhel-7-server-rhui-rh-common-rpms 原有操作参数
  

• 永久禁用故障仓库，配置后yum默认运行时不再调用该源，直到手动重新永久启用，或使用--enablerepo参数临时启用，可选择以下任意一条命令完成配置：

  yum-config-manager --disable rhel-7-server-rhui-rh-common-rpms
  

  subscription-manager repos --disable=rhel-7-server-rhui-rh-common-rpms
  

• 配置故障仓库不可用时自动跳过：注意：该配置下yum执行多数命令时仍会尝试连接该仓库，每次连接失败会拖慢yum运行速度；仅在判断为极短期故障时，该方案为合适的折中选择，配置命令：

  yum-config-manager --save --setopt=rhel-7-server-rhui-rh-common-rpms.skip_if_unavailable=true
  

内容的提问来源于stack exchange，提问作者Arpan_jain