vcenter升级过期证书

升级证书

STS 证书
受信任的根证书
计算机 SSL 证书
解决方案用户证书
自定义证书

STS 证书

在 vCenter Server 版本 6.5U3k、6.7 U3j 或 7.0 U1 中，当 vCenter Single Sign-On Security Token Service （STS） 签名证书即将过期时，您每周都会收到通知。通知在 STS 证书到期前 90 天开始，并在到期前的最后一周变为每天通知。
1、 网页查看vc sts证书到期时间

2、 或者命令查看到期时间，上传 checksts.py 脚本到vc，例如/tmp
在上传目录运行 python checksts.py命令
3、 过期修复
同样上传fixsts.sh 脚本，/tmp
执行命令chmod +x fixsts.sh

./fixsts.sh

4、使用以下命令重新启动 SSO 域中所有 vCenter 和/或 PSC 上的服务：
注意：如果存在其他过期证书（如计算机 SSL 或解决方案用户），则重新启动服务将失败。继续执行下一步，以识别和替换过期的证书。
service-control --stop --all && service-control --start –all

检查除STS证书外是否还有其余证书过期

1、打开vc的ssh
登录后输入命令

 for i in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list); do echo STORE $i; sudo /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store $i --text | egrep "Alias|Not After"; done

续订除STS和data-encipherment以外的证书

重新生成新的 VMCA 根证书并替换所有证书 (vmware.com)
登录到 vCenter Server，然后启动 vSphere Certificate Manager。

/usr/lib/vmware-vmca/bin/certificate-manager

选择选项 4，Regenerate a new VMCA Root Certificate and replace all certificates。
对提示做出响应。
Certificate Manager 将基于您输入的内容生成新的 VMCA 根证书并替换运行 Certificate Manager 的系统上的所有证书。在证书管理器重新启动服务后，替换过程即完成。
要替换计算机 SSL 证书，请使用选项 3 Replace Machine SSL certificate with VMCA Certificate运行 vSphere Certificate Manager。
要替换解决方案用户许可证，请使用选项 6 Replace Solution user certificates with VMCA certificates运行Certificate Manager。

重点项：
Enter proper value for ‘Hostname’ [Enter valid Fully Qualified Domain Name(FQDN), For Example : example.domain.com] :这个值要和vCenter Server的主机名一致。
Enter proper value for VMCA ‘Name’ : (注意：vCenter Server 6.0 U3、6.5 及更高版本将要求提供此信息，您可以在此字段中使用 vCenter Server 的 FQDN。 它将作为 VMCA 根证书的公用名) 没有配置FQDN就是用IP地址。

续订data-encipherment证书

1、删除原有证书

/usr/lib/vmware-vmafd/bin/vecs-cli entry delete --store data-encipherment --alias data-encipherment --server localhost --upn administrator@vsphere.local

2、创建私钥和公钥

/usr/lib/vmware-vmca/bin/certool --genkey --privkey=/etc/vmware-vpx/ssl/data-encipherment.key --pubkey=/etc/vmware-vpx/ssl/data-encipherment.pub

3、创建证书–

/usr/lib/vmware-vmca/bin/certool --server=FQDN --genCIScert --dataencipherment --privkey=/etc/vmware-vpx/ssl/data-encipherment.key --cert=/etc/vmware-vpx/ssl/data-encipherment.crt --Name=data-encipherment --FQDN=FQDN

注意：FQDN为VCSA主机的FQDN，如果IP部署填写IP，有两处需要替换（第一个和最后一个）。
4、验证

/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store data-encipherment --text | less

反馈结果Number of entries in store : 1
5、重启vCenter服务或者重启vCenter虚拟机。
最终问题解决，自定义规范也正常了。