VCSA 6.7证书过期别慌！手把手教你修改系统时间+续订证书（附STS证书修复脚本）

VCSA 6.7证书过期应急处理全流程指南

当VMware vCenter Server Appliance (VCSA) 6.7的证书过期时，系统管理员可能会面临无法登录管理界面的紧急情况。本文将提供一套完整的应急处理方案，从诊断问题到完全恢复系统功能，特别针对VSAN环境的特殊注意事项进行详细说明。

1. 问题诊断与应急准备

证书过期通常表现为以下几种典型症状：

• 浏览器访问VCSA管理界面时出现"此网站的安全证书已过期"警告
• 客户端工具（如vSphere Client）无法连接，提示证书验证失败
• 部分服务（如VSAN性能监控）可能停止工作

快速确认证书状态的方法：

1. 尝试访问VCSA的5480管理端口：https://<VCSA_IP>:5480
2. 查看证书有效期信息
3. 如果确实已过期，记录当前系统时间（后续恢复需要）

重要提示：在进行任何修改前，建议先对VCSA进行快照备份，特别是VSAN环境下的配置更为敏感。

2. 应急处理：临时修改系统时间

当证书过期导致无法登录时，临时调整系统时间是恢复访问的有效应急方案。以下是详细操作步骤：

2.1 禁用时间同步服务

1. 通过控制台或SSH登录VCSA（如果SSH未开启，需先在控制台启用）
2. 执行以下命令停止时间同步服务：

   service-control --stop vmware-vpxd service-control --stop vmware-vmon

3. 禁用自动时间同步：

   timedatectl set-ntp off

2.2 修改系统时间

1. 确定证书过期前的有效日期（通常查看旧证书的过期日期）
2. 使用date命令修改系统时间：

   date -s "2022-12-22 10:00:00"

3. 将时间写入硬件时钟：

   hwclock --systohc

2.3 重启关键服务

完成时间修改后，需要重启服务使更改生效：

service-control --start --all

时间修改后的注意事项：

• 此时系统时间不正确，仅作为应急手段
• 不要在此状态下进行重要配置变更或数据操作
• VSAN环境特别需要注意存储服务的状态

3. 证书续订完整流程

成功登录后，应立即进行证书续订操作，以下是详细步骤：

3.1 续订标准证书

1. 登录VCSA管理界面（5480端口）
2. 导航至"证书管理"部分
3. 选择所有过期证书，点击"续订"按钮
4. 确认续订操作，新证书通常有效期为2年

3.2 处理STS证书（6.7版本特殊要求）

VCSA 6.7需要额外处理STS证书，这是许多管理员容易忽略的关键步骤：

1. 从VMware官方知识库下载修复脚本：

   • 知识库文章KB76719提供fixsts.sh脚本
   • 可直接下载：wget https://<kb_download_url>/fixsts.sh -O /tmp/fixsts.sh

2. 为脚本添加执行权限：

   chmod +x /tmp/fixsts.sh

3. 执行修复脚本：

   cd /tmp ./fixsts.sh

   脚本执行过程中会要求输入root密码，按提示操作即可。

3.3 恢复系统时间并重启

完成证书续订后，必须恢复正确的系统时间：

1. 重新启用时间同步：

   timedatectl set-ntp on

2. 同步时间：

   ntpdate -u pool.ntp.org

3. 完整重启VCSA（确保所有服务使用新证书）：

   shutdown -r now

4. VSAN环境特殊处理

VSAN环境在证书更新后可能需要额外处理：

常见问题：

• VSAN性能监控服务无法启动
• 存储策略服务异常
• 健康检查功能失效

解决方案：

1. 检查vsan-health服务状态：

   service-control --status vmware-vsan-health

2. 如果服务未运行，手动启动：

   service-control --start vmware-vsan-health

3. 重置VSAN健康服务证书：

   /usr/lib/vmware-vmon/vmon-cli --restart vmware-vsan-health

对于更复杂的VSAN证书问题，可能需要参考VMware官方文档进行深度修复。

5. 验证与后续监控

完成所有修复步骤后，必须进行全面验证：

验证清单：

• [ ] 所有服务正常运行（检查service-control --status --all）
• [ ] 管理界面可正常访问
• [ ] 新证书有效期正确（至少2年）
• [ ] VSAN功能完整（特别是性能监控）
• [ ] 时间同步正常（timedatectl status）

预防措施：

• 设置证书过期提醒（可在vCenter中配置）
• 定期检查证书状态（建议每季度一次）
• 考虑升级到更新版本的VCSA（7.0+改进了证书管理）

在真实生产环境中，我曾遇到VSAN性能服务因证书问题持续异常的情况，最终发现是需要完全重置健康服务配置。这提醒我们，证书问题有时会产生连锁反应，需要全面检查所有相关服务。