案例 1:vCenter 憑證已到期。(適用於所有 VxRail 版本)
- 無法登入 vCenter UI。
- 當 Web UI 可用時,即使使用正確的登入資料,任何登入嘗試都會失敗。
- 重新啟動 VCSA 服務失敗。
- 重新啟動服務不會啟動所有服務。
看到的錯誤:
/var/log/vmware/vpxd-svcs/vpxd-svcs.log:
2020-06-03T09:31:04.523Z [pool-8-thread-1 INFO com.vmware.identity.token.impl.X509TrustChainKeySelector opId=905f6864-c067-4db6-828c-1d59c4b43bf8] Failed to find trusted path to signing certificate <CN=ssoserverSign>
sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
at sun.security.provider.certpath.SunCertPathBuilder.build(SunCertPathBuilder.java:141)
案例 2:vCenter 憑證將在不到 60 天後到期。(適用於 VxRail 7.0.480 及更新版本)
- 已完成登入 vCenter UI,但 VxRail 7.0.480 及更新版本在 VxRail Cluster > 設定>「VxRail > 憑證>所有信任存放區憑證」頁面顯示警告,指出憑證將在 60 天內到期。
對於案例 1,當 vCenter 憑證已過期時,請按照以下程序在 PSC 和 VCSA 上產生新的自我簽署憑證。
注意:此程序適用於透過 VxRail LCM 維護的單一 PSC 或 VCSA VM。若為 HA、ELM 或客戶部署的 VC,請開立 VMware 工單!
注意:拍攝 VRM、PSC 和 VCSA 的離線快照!
注意:檢查快照建立程序是否已完成,沒有發生錯誤!沒有有效的快照,請勿繼續!
注意:如果發生問題,請勿在未還原至快照的情況下重試!
- 修正 PSC:
重設所有憑證 (這會失敗,但這是預期中的作業。)
/usr/lib/vmware-vmca/bin/certificate-manager
"Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
- 輸入值
- 將 IPAddress 欄位留空
- 以 PSC 的 FQDN 格式輸入主機名稱
- VMCA 名稱欄位是 即將建立的新根 CA 的名稱,例如 VxRail CA。
- 確認
"Continue operation : Option[Y/N] ?"
"Continue operation : Option[Y/N] ?"
Get site nameCompleted [Reset Machine SSL Cert...]
g3node-site
Lookup all services
Get service xxxxxx-site:xxxxxxx-d202-4d8f-9282-xxxxxx317b8f
Update service xxxxxx-site:xxxxxxxx-d202-4d8f-9282-xxxxxx317b8f; spec: /tmp/svcspec_a1hipoqq
Status : 0% Completed [Reset operation failed]
please see /var/log/vmware/vmcad/certificate-manager.log for more information.
root@xxxxc [ ~ ]#
- 修正 STS 問題
service-control --all --stop
service-control --all --start
- 等待程序逾時,或在到達 vmware-vmon 服務時停止
/usr/lib/vmware-vmca/bin/certificate-manager
- 選取 選項 6 > 將解決方案使用者憑證更換成 VMCA 憑證
- 確認
"Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
- 輸入登入資料
- 拒絕 (輸入「N」) 以進行重新設定,因為以上所有選項均已設定
"certool.cfg file exists, Do you wish to reconfigure : Option[Y/N] ?"
"You are going to regenerate Solution User Certificates using VMCA, Continue operation : Option[Y/N] ?"
service-control --all --status
- 修正 VCSA 上的憑證
停止並啟動所有服務。這 必須在所有 PSC 服務執行 後 完成!
service-control --all --stop
service-control --all --start
- 等待程序逾時,或在到達 vmware-vmon 服務時停止
/usr/lib/vmware-vmca/bin/certificate-manager
- 選取 選項 8 >:重設所有憑證
- 啟動憑證管理員
- 確認
"Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
- 輸入 PSC IP
- 輸入值
- 將 IPAddress 欄位留空
- 輸入 主機名稱 作為 VCSA 的 FQDN
- VMCA 名稱欄位是 即將建立的新根 CA 的名稱,例如 VxRail CA。
- 確認
"Continue operation : Option[Y/N] ?"
"Continue operation : Option[Y/N] ?"
"Reset status : 100% Completed [Reset completed successfully]"
service-control --all --status
- 存取 vCenter UI
- 由於 HSTS,Chrome 中的 DNS 存取失敗。開啟 VCSA IP 或使用其他支援的瀏覽器,例如 FireFox。
對於狀況 2,當 vCenter 憑證在 60 天內到期時,請按照以下程序提前更新憑證,以避免 VxRail Manager 與 vCenter 中斷連線。
- 以 root 使用者身分,透過 SSH 登入 vCenter
- 重新啟動服務
"service-control --stop --all"
"service-control --start --all"
- 重設所有憑證
"/usr/lib/vmware-vmca/bin/certificate-manager"
- 確認操作,然後更新 vCenter 根或機器憑證
![確認憑證已續訂](https://supportkb.dell.com/img/ka06P000000x7wDQAQ/ka06P000000x7wDQAQ_zh_TW_4.jpeg)
- 請關注文章 Dell VxRail:如何在 VxRail Manager 上手動匯入 vCenter SSL 憑證,以將更新的 vCenter 和 CA 憑證匯入 VxRail Manager 信任存放區。