1. 紧急锁定场景下的问题诊断当你某天早晨像往常一样尝试登录vCenter Server Appliance时突然发现root或SSO账户无法登录这种突如其来的紧急锁定状态往往会让运维人员心跳加速。别慌这种情况十有八九是密码过期导致的。vCenter Server Appliance确实有两个关键账户需要特别注意root账户用于底层系统管理而administratorvsphere.local则是SSOSingle Sign-On的管理账户。不同版本的vCenter Server Appliance有着不同的默认密码有效期设置。比如vCenter 6.0的root密码默认365天后过期而6.5/6.7版本则缩短到了60天。更值得注意的是所有版本的SSO账户默认都是60天有效期。在实际运维中我遇到过不少客户因为忽视了这些默认设置导致生产环境突然无法访问的紧急情况。要判断到底是哪个账户出了问题其实很简单。如果你连5480管理端口都无法访问那基本可以确定是root密码问题如果还能登录5480端口但无法进入vSphere Client则很可能是SSO密码失效。记得去年有个客户的生产环境就因为这个原因瘫痪了大半天后来我们发现其实只要提前做好密码策略检查就能避免。2. vCenter 6.0的root密码恢复实战对于还在使用vCenter 6.0的环境root密码恢复需要些特殊技巧。首先你需要准备一个CentOS启动盘这个我在实际救援中经常用到。通过启动盘进入救援模式后最关键的操作就是修改GRUB配置。具体步骤是进入救援命令行后先cd到/mnt/sysimage/boot/grub目录然后用vi编辑menu.lst文件。这里有个小技巧 - 找到包含password的那行直接按两次d键删除然后:wq保存。这个操作移除了GRUB的密码保护让你可以修改启动参数。重启后进入GRUB菜单时选择vCenter启动项按e编辑在kernel行末尾添加init/bin/bash。这个技巧让我成功恢复了至少十几个客户的系统。启动到bash环境后直接passwd修改密码就行。完成后别忘了通过5480端口把密码策略改为永不过期否则60天后你又得重来一遍。3. vCenter 6.5/6.7的root密码重置方案新版本的vCenter 6.5/6.7在密码恢复上做了些改变操作反而更简单了。当系统启动到控制台界面时直接按e键进入编辑模式。在启动参数最后添加rw init/bin/bash这一行特别关键它让系统以可读写方式进入bash环境。按F10启动后你会进入一个干净的bash环境。这里只需要三个命令就能搞定passwd修改密码、umount /卸载文件系统、reboot -f强制重启。我实测这个过程通常不超过2分钟。有个小细节要注意 - 有些服务器键盘可能需要按FnF10组合键才能生效。完成密码修改后同样建议立即登录5480管理界面在系统管理→密码过期设置里禁用密码过期。这个步骤很多管理员都会忽略结果几个月后又遇到同样问题。我在给客户做健康检查时总会特别检查这项设置。4. SSO密码重置的完整流程相比root密码SSO密码重置要复杂些但掌握了方法也很容易。首先需要通过控制台启用SSH访问选择Troubleshooting Mode Options开启shell和SSH功能。这里有个经验之谈 - 如果控制台响应很慢可以尝试altF1直接进入命令行。连接SSH后关键是要找到/usr/lib/vmware-vmdir/bin/vdcadmintool这个工具。运行后选择选项3重置密码输入administratorvsphere.local这个UPN账号。系统会生成临时密码记得一定要复制保存。用临时密码登录vSphere Client后第一件事就是修改密码并调整密码策略。我建议把密码复杂度设为中等级别过期时间延长到180天以上。曾经有个客户设置了超高复杂度30天过期结果管理员自己都记不住密码反而降低了安全性。5. 密码策略的最佳实践从多次救援经验来看预防胜于治疗。我总结了几个密码管理的最佳实践首先所有vCenter安装后第一件事就是检查并修改默认密码策略其次建议使用密码管理器妥善保管密码最后建立定期检查机制在密码到期前主动更换。对于关键生产环境可以考虑部署vCenter High Availability方案。这样即使主节点出现问题备节点也能立即接管。另外定期对vCenter做快照也是个好习惯能在出现问题时快速回滚。最后提醒一点完成所有密码修改后务必测试所有管理功能是否正常。我有次帮客户重置密码后发现备份服务无法运行排查半天才发现是服务账户密码没同步更新。现在我的检查清单里都会包含这项验证。
vCenter Server Appliance密码失效应急指南：从root到SSO的完整恢复路径
1. 紧急锁定场景下的问题诊断当你某天早晨像往常一样尝试登录vCenter Server Appliance时突然发现root或SSO账户无法登录这种突如其来的紧急锁定状态往往会让运维人员心跳加速。别慌这种情况十有八九是密码过期导致的。vCenter Server Appliance确实有两个关键账户需要特别注意root账户用于底层系统管理而administratorvsphere.local则是SSOSingle Sign-On的管理账户。不同版本的vCenter Server Appliance有着不同的默认密码有效期设置。比如vCenter 6.0的root密码默认365天后过期而6.5/6.7版本则缩短到了60天。更值得注意的是所有版本的SSO账户默认都是60天有效期。在实际运维中我遇到过不少客户因为忽视了这些默认设置导致生产环境突然无法访问的紧急情况。要判断到底是哪个账户出了问题其实很简单。如果你连5480管理端口都无法访问那基本可以确定是root密码问题如果还能登录5480端口但无法进入vSphere Client则很可能是SSO密码失效。记得去年有个客户的生产环境就因为这个原因瘫痪了大半天后来我们发现其实只要提前做好密码策略检查就能避免。2. vCenter 6.0的root密码恢复实战对于还在使用vCenter 6.0的环境root密码恢复需要些特殊技巧。首先你需要准备一个CentOS启动盘这个我在实际救援中经常用到。通过启动盘进入救援模式后最关键的操作就是修改GRUB配置。具体步骤是进入救援命令行后先cd到/mnt/sysimage/boot/grub目录然后用vi编辑menu.lst文件。这里有个小技巧 - 找到包含password的那行直接按两次d键删除然后:wq保存。这个操作移除了GRUB的密码保护让你可以修改启动参数。重启后进入GRUB菜单时选择vCenter启动项按e编辑在kernel行末尾添加init/bin/bash。这个技巧让我成功恢复了至少十几个客户的系统。启动到bash环境后直接passwd修改密码就行。完成后别忘了通过5480端口把密码策略改为永不过期否则60天后你又得重来一遍。3. vCenter 6.5/6.7的root密码重置方案新版本的vCenter 6.5/6.7在密码恢复上做了些改变操作反而更简单了。当系统启动到控制台界面时直接按e键进入编辑模式。在启动参数最后添加rw init/bin/bash这一行特别关键它让系统以可读写方式进入bash环境。按F10启动后你会进入一个干净的bash环境。这里只需要三个命令就能搞定passwd修改密码、umount /卸载文件系统、reboot -f强制重启。我实测这个过程通常不超过2分钟。有个小细节要注意 - 有些服务器键盘可能需要按FnF10组合键才能生效。完成密码修改后同样建议立即登录5480管理界面在系统管理→密码过期设置里禁用密码过期。这个步骤很多管理员都会忽略结果几个月后又遇到同样问题。我在给客户做健康检查时总会特别检查这项设置。4. SSO密码重置的完整流程相比root密码SSO密码重置要复杂些但掌握了方法也很容易。首先需要通过控制台启用SSH访问选择Troubleshooting Mode Options开启shell和SSH功能。这里有个经验之谈 - 如果控制台响应很慢可以尝试altF1直接进入命令行。连接SSH后关键是要找到/usr/lib/vmware-vmdir/bin/vdcadmintool这个工具。运行后选择选项3重置密码输入administratorvsphere.local这个UPN账号。系统会生成临时密码记得一定要复制保存。用临时密码登录vSphere Client后第一件事就是修改密码并调整密码策略。我建议把密码复杂度设为中等级别过期时间延长到180天以上。曾经有个客户设置了超高复杂度30天过期结果管理员自己都记不住密码反而降低了安全性。5. 密码策略的最佳实践从多次救援经验来看预防胜于治疗。我总结了几个密码管理的最佳实践首先所有vCenter安装后第一件事就是检查并修改默认密码策略其次建议使用密码管理器妥善保管密码最后建立定期检查机制在密码到期前主动更换。对于关键生产环境可以考虑部署vCenter High Availability方案。这样即使主节点出现问题备节点也能立即接管。另外定期对vCenter做快照也是个好习惯能在出现问题时快速回滚。最后提醒一点完成所有密码修改后务必测试所有管理功能是否正常。我有次帮客户重置密码后发现备份服务无法运行排查半天才发现是服务账户密码没同步更新。现在我的检查清单里都会包含这项验证。
