VMware VCSA stellt den Dienst ein

In der Vergangenheit kam es bei einzelnen VMware-Implementierungen zu Problemen mit der VCSA. Diese stellte die Dienste ein und war nicht mehr erreichbar. Ist es nicht eine Wohltat, wenn man morgens die URL des vSphere Web Clients aufruft und mit folgender Meldung begrüßt wird?

vcsa_1

Achtung!

Bevor irgendwelche Arbeiten an der VMware vCenter Server Appliance durchgeführt werden, sollte unbedingt ein Snapshot erstellt werden.

Was ist da los?

Ein Blick auf die Shell der vCSA zeigt, dass einige Dienste nicht gestartet sind.

service-control –status

vcsa_2

Ein manuelles Starten schlägt fehl.

service-control –start –all

vcsa_3

Ein kurzer Blick in die Suchmaschine der Wahl zeigt: Die Ursache hierfür kann vielfältig sein, beispielsweise ein abgelaufenes root-Kennwort oder aber abgelaufene Zertifikate.

Die Vorgehensweisen zu diesen beiden Fehlerbehebungen werden nachfolgend skizziert:

Root-Kennwort abgelaufen?

Auch wenn das root-Kennwort abgelaufen ist, ist ein Login auf der Shell per Web Konsole oder VMRC noch möglich.

Mit chage -l root kann die Gültigkeit des Passworts geprüft werden.

vcsa_4

Ist das der Fall, ändert man das Passwort mittels passwd root

vcsa_5

Anschließend kann noch einmal die Passwortgültigkeit geprüft werden.

vcsa_6

Zertifikate abgelaufen?

Um die Gültigkeit der Zertifikate zu prüfen, lässt man sich zuerst mit /usr/lib/vmware-vmafd/bin/vecs-cli store list den Inhalt des Zertifikat Stores anzeigen.

vcsa_7

Der Inhalt eines bestimmten Zertifikates kann per /usr/lib/vmware-vmafd/bin/vecs-cli entry list –store NAME_DES_ZERTIFIKATES –text angezeigt werden.

vcsa_8

Das aktuelle Datum der vCSA kann mittels date geprüft werden.

vcsa_9

Durch zurückstellen des Datums auf einen Wert, an dem die Zertifikate noch gültig waren, lassen sich die Dienste wieder starten. Hier in diesem Fall mit date -s ‘2020-06-01 10:00:00’

vcsa_10

Achtung!

Um eine Aktualisierung der Zeit zu verhindern, muss in der VMware vCenter Server Appliance Web-Konsole die Zeitsynchronisierung deaktiviert sein.

vcsa_11

Die Web Konsole erreicht man im Browser unter https://IP-oder-Name-der -VCSA:5480/

Anschließend lassen sich die Dienste per service-control –start –all starten. Alternativ kann auch die Appliance neu gestartet werden.

Das eingebaute Zertifikat-Manager Tool, das auf der Shell mittels /usr/lib/vmware-vmca/bin/certificate-manager aufgerufen werden kann lief auf einen Fehler beim Erneuern des MACHINE_SSL_CERT-Zertifikates und führte ein Rollback durch.

Auch im Administrationsberiech des vSphere Web Clients ließ sich in diesem Fall das MACHINE_SSL_CERT-Zertifikat nicht erneuern.

vcsa_12

In der Webkonsole des Platform Service Controllers gibt es ebenfalls einen Bereich für das Zertifikatsmanagement. Darüber ließen sich schlussendlich alle Zertifikate erneuern.

Handelt es sich um eine embedded Installation erreicht man den PSC im Browser unter https://IP-oder-Name-der-VCSA/psc

vcsa_13
vcsa_14

Die zu erneuernden Zertifikate auswählen und Erneuern anklicken.

Ein weiteres Zertifikat gibt es im Bereich der SSO Konfiguration. Das STS Signing Zertifikat lässt sich über keine der Webkonsolen erneuern, da es sich um ein internes VMware Zertifikat handelt und normalerweise nicht ausgetauscht werden soll.

vcsa_15

Da es ebenfalls abgelaufen war, muss dennoch ein neues Zertifikat generiert und dem Java key store hinzugefügt werden.

Eine sehr detaillierte Anleitung gibt es dazu in den VMware Docs:

Generieren des Zertifikats: Generate a New STS Signing Certificate on the Appliance
Einspielen des Zertifikats: Refresh the Security Token Service Certificate

Abschließend sollte die vCSA unbedingt neu gestartet werden.

Sie benötigen Unterstützung oder Beratung in solchen oder anderen Themen? Wir unterstützen Sie gerne.