1. VxRail-vCenter证书更新操作指南作为VMware基础设施管理员定期更新vCenter证书是确保系统安全性的重要任务。特别是在VxRail集成环境中证书更新涉及vCenter和VxRail Manager的协同操作需要格外谨慎。本文将详细介绍从准备工作到最终验证的完整流程包含我在实际运维中积累的多个关键技巧。1.1 准备工作与环境检查在开始证书更新前必须完成以下准备工作备份当前环境通过VAMI界面创建完整的vCenter备份路径https://vCenter_IP:5480对VxRail Manager执行配置导出路径https://VxRail_Manager_IP/ui记录当前证书指纹信息可通过SSH执行/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store TRUSTED_ROOTS工具准备下载最新版vCert工具当前版本6.1.1准备cert_util_pkb.zip脚本用于VxRail Manager证书导入确保WinSCP/SFTP客户端可用版本不低于5.21权限验证确认拥有vCenter的root SSH访问权限准备好administratorvsphere.local账户密码检查VxRail Manager的admin账户权限重要提示操作必须在维护窗口期进行证书更新会导致服务短暂中断。我曾遇到因未提前通知用户导致的业务投诉案例建议提前至少24小时发送维护通知。1.2 常见准备工作问题排查在实际操作中经常遇到以下准备阶段问题问题1WinSCP无法连接vCenter检查项确认SSH服务已启用默认端口22验证防火墙规则esxcli network firewall ruleset list | grep ssh检查vCenter Shell模式可能需要执行chsh -s /bin/bash root切换问题2证书工具下载失败解决方案使用带公司代理参数的curl命令curl -x proxy.company.com:8080 -k -O https://download3.vmware.com/software/vcert-tools/vCert-6.1.1-20260401.zip或通过VMware Customer Connect门户手动下载问题3备份存储空间不足处理方法# 检查/tmp目录空间 df -h /tmp # 清理旧备份 rm -f /tmp/*.bak2. vCenter证书更新详细步骤2.1 上传并执行vCert工具通过SSH连接到vCenter后按以下步骤操作上传工具包# 创建专用工作目录 mkdir -p /opt/cert_update cd /opt/cert_update # 使用SCP上传示例 scp vCert-6.1.1-20260401.zip rootvcenter_ip:/opt/cert_update/解压工具包unzip vCert-6.1.1-20260401.zip cd vCert-6.1.1-20260401执行证书重置./vCert.py选择选项6Reset all certificates with VMCA-signed certificates输入SSO凭证使用administratorvsphere.local账户密码需满足复杂度要求至少8字符含大小写和特殊字符2.2 证书信息配置技巧在CSR信息配置阶段建议采用以下最佳实践企业标准命名Country Code: CN Organization: YourCompany Organizational Unit: IT Infrastructure State: Beijing Locality: Haidian DistrictSAN条目扩展包含所有可能的访问FQDN如vcenter01.company.com, vc.company.com包含负载均衡器VIP地址如有示例输入Additional hostnames: vcenter-ha.company.com,192.168.100.100经验分享曾遇到因未配置SAN条目导致Horizon连接失败的情况。建议通过openssl x509 -in /etc/vmware-vpx/ssl/rui.crt -text -noout验证生成的证书是否包含所有必要SAN。2.3 服务重启注意事项选择重启服务时输入y会经历以下流程服务停止阶段vCenter Web服务vpxd停止所有管理API不可用平均耗时2-3分钟服务启动阶段证书库重新加载服务逐项启动平均耗时5-8分钟关键检查点# 检查服务状态 service-control --status --all # 监控启动日志 tail -f /var/log/vmware/vpxd/vpxd.log3. VxRail Manager证书导入3.1 证书同步操作上传工具到VxRail Managerscp cert_util_pkb_en_US_1.zip rootvxrail_manager_ip:/tmp/执行导入脚本cd /tmp unzip cert_util_pkb_en_US_1.zip python cert_util.py自动完成以下操作从vCenter下载根证书验证证书链完整性更新信任存储(/var/lib/vmware-marvin/trust/)重启相关服务3.2 常见导入问题处理问题1证书验证失败现象Verify certificate against vCenter vxrail-vcenter.xxx.com failed解决方案检查时间同步date ntpq -p手动验证证书openssl s_client -connect vcenter_ip:443 -showcerts问题2服务重启失败处理方法# 手动重启服务 systemctl restart vmware-marvin systemctl restart runjars # 检查日志 journalctl -u vmware-marvin -n 504. 验证与后续检查4.1 基础验证步骤vCenter验证登录Web客户端https://vCenter_IP/ui检查管理-证书-证书管理中的有效期验证各服务证书一致性/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store TRUSTED_ROOTSVxRail Manager验证检查管理界面告警状态验证与vCenter的通信curl -vk https://vcenter_ip/api/v1/cluster/nodes4.2 高级检查项ESXi主机证书状态# 通过DCUI或SSH检查 /etc/vmware/ssl/castore.pem备份新证书# vCenter证书备份 cp /etc/vmware-vpx/ssl/rui.crt /backup/vcenter_new.crt # VxRail信任库备份 tar -czvf /backup/vxrail_trust_store_$(date %Y%m%d).tgz /var/lib/vmware-marvin/trust/监控系统日志# vCenter日志 tail -f /var/log/vmware/vpxd/vpxd.log | grep -i cert # VxRail日志 tail -f /var/log/vmware/marvin/marvin.log | grep -i ssl在实际操作中建议在更新后观察24小时内的系统告警情况。我曾遇到过一个案例证书更新后因未及时刷新浏览器缓存导致UI显示异常清除缓存后问题解决。
