1. 问题现象与背景分析当vCenter Server的SSL证书过期时系统会抛出[400] An error occurred... SSL certificate verification错误。这个看似简单的报错背后实际上涉及到vSphere架构中复杂的证书体系。我最近在客户现场就遇到了这个典型问题——管理员突然无法通过Web客户端登录vCenter同时相关自动化脚本也开始报SSL验证失败。在vSphere 6.0及之后版本中VMware引入了基于VMCAVMware Certificate Authority的证书自动管理系统。整套环境包含以下几种关键证书机器SSL证书Machine SSL Certificate解决方案用户证书Solution User CertificatesSTS签名证书STS Signing Certificate可信根证书Trusted Root Certificates这些证书默认有效期都是2年如果没有配置自动续期或监控机制到期后就会导致服务中断。特别需要注意的是当证书过期后不仅Web界面无法访问所有通过API进行的自动化操作如PowerCLI脚本也会全部失效。2. 证书状态诊断方法2.1 通过命令行检查证书有效期对于Linux版本的vCenter Server ApplianceVCSA登录到Bash Shell后执行for store in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list | grep -v TRUSTED_ROOT_CRLS); do echo [*] Store : $store; /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store $store --text | grep -ie Alias -ie Not After; done这个命令会遍历所有证书存储库除TRUSTED_ROOT_CRLS外输出每个证书的别名和过期时间。关键是要检查输出中的Not After字段确保日期都是未来的时间。2.2 Windows版本vCenter的检查方法如果是Windows版本的vCenter需要在PowerShell中执行$VCInstallHome [System.Environment]::ExpandEnvironmentVariables(%VMWARE_CIS_HOME%) foreach ($STORE in $VCInstallHome\vmafdd\vecs-cli store list) { Write-host STORE: $STORE $VCInstallHome\vmafdd\vecs-cli entry list --store $STORE --text | findstr /C:Alias /C:Not After }重要提示执行这些诊断命令不需要停止任何服务可以在线操作。但如果发现证书确实已过期后续修复步骤需要安排维护窗口。3. 证书更新操作流程3.1 前期准备工作完整备份对vCenter虚拟机创建快照如果是物理机则备份整个系统。我曾经遇到过证书更新过程中配置文件损坏的情况有备份才能快速回退。环境检查确保有root或administrator权限记录当前的NTP服务器配置时间同步必须正常检查磁盘剩余空间至少需要2GB空闲空间维护窗口安排证书更新过程会导致服务暂时不可用需要提前通知相关用户。3.2 不同类型证书的更新方法3.2.1 机器SSL证书更新这是最常见的过期证书更新方法/usr/lib/vmware-vmca/bin/certificate-manager选择选项3Replace Machine SSL certificate with VMCA Certificate按照提示操作即可。整个过程大约需要5-10分钟期间Web客户端会断开连接。3.2.2 STS签名证书更新如果诊断显示STS证书过期需要特别注意对于嵌入式PSC的vCenter直接在该节点上运行/usr/lib/vmware-vmca/bin/certificate-manager选择选项1Replace STS signing certificate对于外部PSC环境只需要在主PSC上执行此操作其他节点会自动同步。3.2.3 解决方案用户证书这类证书过期会影响vCenter与其他服务的集成如vRealize Suite更新方法/usr/lib/vmware-vmca/bin/certificate-manager选择选项6Replace Solution User certificates4. 复杂环境处理方案4.1 多节点vCenter环境在链接模式Linked Mode环境下证书更新有特殊顺序要求首先更新PSC节点上的证书然后更新vCenter节点上的证书如果使用外部负载均衡器还需要更新负载均衡器上的证书我曾经处理过一个6节点环境正确的更新顺序避免了证书信任链断裂的问题。4.2 自定义证书场景如果环境使用了企业CA颁发的自定义证书更新流程更复杂先用VMCA重新生成临时证书然后按照VMware文档重新应用自定义证书需要确保新证书的SANSubject Alternative Name包含所有必要的DNS名称和IP地址血泪教训有一次忽略了SAN列表中的某个负载均衡器VIP地址导致部分功能异常。建议使用以下命令检查证书详情openssl x509 -in /etc/vmware-vpx/ssl/rui.crt -text -noout5. 验证与后续监控5.1 更新后验证步骤检查服务状态service-control --status --all测试Web客户端登录验证API调用如通过PowerCLI执行Get-VM命令检查其他集成服务备份、监控等是否正常工作5.2 预防措施为了避免再次遇到证书过期问题建议设置监控提醒在vROps或第三方监控工具中添加证书过期告警启用自动续期vSphere 7.0支持/usr/lib/vmware-vmca/bin/certificate-manager选择选项7Renew all certificates using VMCA文档记录将证书有效期记录在CMDB中设置日历提醒我在客户环境中部署的监控方案通常包含每月自动检查证书有效期的脚本过期前60天、30天、7天的分级告警自动生成服务台工单的集成流程6. 疑难问题排查6.1 常见错误处理错误1certificate-manager执行失败如果certificate-manager工具本身报错可以尝试/usr/lib/vmware-vmca/bin/certificate-manager --operationreset-all这会重置所有证书选项8但需要更长的停机时间。错误2服务启动失败有时更新证书后服务无法启动检查日志tail -f /var/log/vmware/vpxd/vpxd.log常见原因是权限问题可以尝试chmod 644 /etc/vmware-vpx/ssl/* chown root:root /etc/vmware-vpx/ssl/*6.2 时间同步问题证书验证严重依赖系统时间如果遇到奇怪的证书错误首先检查timedatectl status确保时区和NTP配置正确。我遇到过因为时区设置错误导致证书提前过期的案例。7. 高级场景证书链修复当根证书过期时会出现更复杂的情况。这时需要生成新的根证书/usr/lib/vmware-vmca/bin/certificate-manager选择选项4Regenerate a new VMCA Root certificate在所有节点上重新建立信任链/usr/lib/vmware-vmca/bin/certificate-manager选择选项5Replace all certificates with VMCA certificates这个过程可能需要2-3小时具体取决于环境规模。建议先在测试环境演练。