vSphere管理员必读：如何规避STS证书的隐形危机
当vCenter突然拒绝所有登录请求时，大多数管理员的第一反应是检查Web界面证书——这恰恰落入了VMware环境中最危险的认知陷阱。真正致命的往往是那个在UI中完全不可见的STS（Security Token Service）证书，它像一颗定时炸弹，在vSphere 6.5/6.7环境中默认只有2年有效期，且到期时没有任何预警机制。
1. 被忽视的STS证书：vSphere认证体系的隐形支柱
STS证书在vSphere架构中扮演着身份验证核心组件的角色，却因其"不可见性"成为最容易被忽略的隐患。与常规HTTPS证书不同，STS证书不通过Web界面展示，也不触发标准证书告警，这使得许多管理员在例行检查时根本意识不到它的存在。
STS证书的关键特性：
- 控制所有SSO（Single Sign-On）令牌的签发与验证
- 影响范围包括：vCenter登录、API调用、插件认证等所有身份验证流程
- 在vSphere 6.5 Update2及后续版本中，默认有效期缩短至2年（早期版本为10年）
重要提示：从vSphere 6.5升级到6.7不会自动刷新STS证书有效期，这意味着升级后的系统可能继承剩余的有效期
2. 诊断与检测：如何发现潜在的STS证书风险
当用户报告"输入正确密码却反复跳回登录页面"时，这往往是STS证书过期的典型症状。但更明智的做法是在问题发生前就建立主动检测机制。
2.1 命令行检测工具
对于Linux版本的vCenter，最可靠的检测方式是使用VMware官方提供的vecs-cli工具：
/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store vpxd-extension --text | grep -A1 "Alias\|Not After"典型输出示例：
Alias: sts_signing Not After: Aug 31 2023 23:59:59 GMT2.2 自动化检查脚本
VMware官方提供的Python脚本checksts.py可生成更易读的报告：
# 下载并执行检查脚本 wget https://kb.vmware.com/sfc/servlet.shepherd/version/download/068f400000JAn50AAD python checksts.py输出示例：
STS Certificate Validity: Issue Date: 2021-09-01 00:00:00 Expiry Date: 2023-08-31 23:59:59 Days Remaining: 923. 预防性维护策略：建立证书生命周期管理
明智的管理员会在证书到期前6个月启动更新流程，以下是推荐的维护方案：
3.1 证书更新操作指南
| 操作步骤 | vSphere 6.5 | vSphere 6.7 |
|---|---|---|
| 访问路径 | https://[VC_IP]/psc → 证书管理 | 系统管理 → 证书 → 证书管理 |
| 续订选项 | 选择STS证书 → 续订 | 选择证书 → 操作 → 续订 |
| 影响范围 | 需要重启SSO服务 | 需要重启SSO服务 |
关键注意事项：
- 续订操作应在业务低峰期进行
- 确保有可用的vCenter备份或快照
- 对于多站点环境，需按特定顺序更新PSC节点
3.2 监控体系搭建建议
建议将以下检查项纳入月度维护清单：
- 通过脚本定期检查STS证书有效期
- 记录证书到期日期到CMDB系统
- 设置日历提醒（到期前90天、30天、7天）
4. 应急处理：当证书已经过期时
如果STS证书已经过期导致无法登录，需要采用特殊恢复流程：
4.1 修复脚本执行步骤
下载VMware官方修复工具：
wget https://kb.vmware.com/sfc/servlet.shepherd/version/download/068f400000HW9InAAL mv 068f400000HW9InAAL fixsts.sh处理Windows换行符问题（如需）：
sed -i -e 's/\r$//' fixsts.sh执行修复：
chmod +x fixsts.sh ./fixsts.sh
4.2 服务恢复流程
修复完成后必须按顺序执行：
service-control --stop --all service-control --start --all如果遇到服务启动超时，可能需要通过VAMI界面（端口5480）执行完整重启。
5. 架构层面的长期解决方案
对于仍在使用vSphere 6.x的环境，建议考虑以下升级路径：
版本迁移策略对比表：
| 当前版本 | 推荐方案 | 证书有效期改善 |
|---|---|---|
| 6.5 U2之前 | 升级至6.7 U3+ | 延长至10年 |
| 6.5 U2之后 | 迁移至vSphere 7+ | 原生支持自动续订 |
| 任何6.x版本 | 实施证书监控系统 | 提前预警机制 |
在最近处理的一个金融客户案例中，他们的vSphere 6.7环境在凌晨突然拒绝所有管理访问，最终发现是STS证书在两年整时瞬间失效。这个教训让我们在后续所有部署中都加入了自动化证书检查流程，现在通过简单的cronjob就能提前半年发现问题。
