【VMware VCF】管理 VCF 环境中组件的用户密码。

默认情况下,VMware Cloud Foundation 使用 vCenter Single Sign-On 作为身份提供程序,并使用系统域作为其身份源,可以将基于 LDAP 和 OpenLDAP 的 Active Directory 添加为 vCenter Single Sign-On 的身份源,也可以配置 Microsoft ADFS、Okta 或 Microsoft Entra ID 作为 VMware Cloud Foundation 的外部身份提供程序,而不是使用 vCenter Server 内置的 vCenter Single Sign-On。

配置了身份提供程序或添加了身份源后,您可以将用户和组添加到 VMware Cloud Foundation,以向用户提供对 SDDC Manager UI 以及 VMware Cloud Foundation 系统中部署的 vCenter Server 和 NSX Manager 实例的访问权限,用户可以根据其分配的角色(管理员、操作员或查看者)登录并执行不同的任务。

注意,SDDC Manager 仅管理"管理工作负载 SSO 域"的用户和组,如果创建的 VI 工作负载域未加入到管理工作负载域的 SSO 域,而是独立的 VI 工作负载 SSO 域,则必须使用 VI 工作负载域 vCenter Server(vSphere Client)来进行管理 SSO 域中的用户和组。

一、了解组件的账户类型

导航到 SDDC Manager UI->安全->密码管理,这个地方可以查看所有由 SDDC Manager 管理的组件账户,这些账户类型主要包含用户账户(USER)、系统账户(SYSTEM)以及服务账户(SERVICE)。服务账户类型由 VMware Cloud Foundation 自动创建,用于产品组件之间的交互,其他账户类型通常是产品组件自身的本地账户。

ESXi 组件的账户类型。

vCenter Server 组件的账户类型。

NSX 组件的账户类型。

SDDC Manager 组件的账户类型。

二、检索组件的用户密码

VCF 环境中的组件账户由 SDDC Manager 管理后,其实可以通过 SDDC Manager 来检索这些组件的账户凭据,比如,当你后续对组件的用户密码进行更新或轮换之后,可能将来某些时候想直接访问这些组件进行维护或故障排除时使用。使用 vcf 用户 ssh 连接到 SDDC Manager CLI,通过 lookup_passwords 命令检索组件的用户密码。

可以直接运行命令并根据选择的组件类型,然后获取对应组件用户的密码。

运行命令并使用 SSO 管理用户认证直接检索 ESXi 组件的用户密码。

复制代码
lookup_passwords -u [email protected] -p Vcf520@password -e ESXI -n 1 -s 20

运行命令并使用 SSO 管理用户认证直接检索 vCenter Server 组件的根用户密码。

复制代码
lookup_passwords -u [email protected] -p Vcf520@password -e VCENTER -n 1 -s 20

运行命令并使用 SSO 管理用户认证直接检索 vCenter Server 组件的 SSO 用户密码。

复制代码
lookup_passwords -u [email protected] -p Vcf520@password -e PSC -n 1 -s 20

运行命令并使用 SSO 管理用户认证直接检索 NSX 组件的用户密码。

复制代码
lookup_passwords -u [email protected] -p Vcf520@password -e NSXT_MANAGER -n 1 -s 20

运行命令并使用 SSO 管理用户认证直接检索 SDDC Manager 组件的备份用户密码。

复制代码
lookup_passwords -u [email protected] -p Vcf520@password -e BACKUP -n 1 -s 20

三、管理组件的用户密码

默认情况下,VCF 环境中组件的用户密码具有有效期,我们可以使用 SoS 实用程序在 SDDC Manager 上运行密码状态检查,如下所示。

复制代码
vcf@vcf-mgmt01-sddc01 [ ~ ]$ sudo /opt/vmware/sddc-support/sos --password-health
Welcome to Supportability and Serviceability(SoS) utility!
Performing SoS operation for vcf-mgmt01 domain components
Health Check : /var/log/vmware/vcf/sddc-support/healthcheck-2024-12-07-11-10-45-128001
Health Check log : /var/log/vmware/vcf/sddc-support/healthcheck-2024-12-07-11-10-45-128001/sos.log
NOTE : The Health check operation was invoked without --skip-known-host-check, additional identity checks will be included for Connectivity Health, Password Health and Certificate Health Checks because of security reasons.

SDDC Manager : vcf-mgmt01-sddc01.mulab.local                                                                                
+-------------------------+-----------+
|          Stage          |   Status  |
+-------------------------+-----------+
|         Bringup         | Completed |
| Management Domain State | Completed |
+-------------------------+-----------+
+--------------------+---------------+
|     Component      |    Identity   |
+--------------------+---------------+
|    SDDC-Manager    | 192.168.32.70 |
| Number of Servers  |       4       |
+--------------------+---------------+
Password Expiry Status : GREEN                                                                                 
+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+
| SL# |                Component                |            User           | Last Changed Date | Expiry Date  | Expires in Days | State |
+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+
|  1  |   ESXI : vcf-mgmt01-esxi01.mulab.local  | svc-vcf-vcf-mgmt01-esxi01 |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|  2  |   ESXI : vcf-mgmt01-esxi02.mulab.local  | svc-vcf-vcf-mgmt01-esxi02 |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|  3  |   ESXI : vcf-mgmt01-esxi03.mulab.local  | svc-vcf-vcf-mgmt01-esxi03 |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|  4  |   ESXI : vcf-mgmt01-esxi04.mulab.local  | svc-vcf-vcf-mgmt01-esxi04 |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|  5  |    NSX : vcf-mgmt01-nsx01.mulab.local   |           admin           |    Sep 26, 2024   | Dec 25, 2024 |     18 days     | GREEN |
|     |                                         |            root           |    Sep 26, 2024   | Dec 25, 2024 |     18 days     | GREEN |
|     |                                         |           audit           |    Sep 26, 2024   | Dec 25, 2024 |     18 days     | GREEN |
|  6  |   SDDC : vcf-mgmt01-sddc01.mulab.local  |            vcf            |    Nov 12, 2024   | Nov 12, 2025 |     340 days    | GREEN |
|     |                                         |            root           |    Nov 12, 2024   | Feb 10, 2025 |     65 days     | GREEN |
|     |                                         |           backup          |    Nov 12, 2024   | Nov 12, 2025 |     340 days    | GREEN |
|  7  | vCenter : vcf-mgmt01-vcsa01.mulab.local |            root           |    Sep 26, 2024   | Dec 25, 2024 |     17 days     | GREEN |
+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+

Legend:

 GREEN - No attention required, health status is NORMAL
 YELLOW - May require attention, health status is WARNING
 RED - Requires immediate attention, health status is CRITICAL


Health Check completed successfully for : [VCF-SUMMARY, PASSWORD-CHECK]                                                                                
vcf@vcf-mgmt01-sddc01 [ ~ ]$ 

SDDC Manager 可以管理组件的用户密码,比如更新(Update)密码、轮换(Rotate)密码以及修复(Remediate)密码等。更新密码指的是对某一用户"手动"更新自己设置的密码;轮换密码指的是对一个/多个/全部用户"自动"更新生成随机的密码,这种方式可以设置调度轮换,比如每隔 30/60/90 天自动轮换更新一次组件的密码;修复密码指的是当某一组件由于密码已经过期后,管理员只能手动在组件中去更新密码,然后再通过 SDDC Manager 修复组件的密码以同步更新。

注意,ESXi 组件的用户密码不支持调度轮换。

点击"更新密码",我们可以手动设置一个密码以更新组件的密码。

完成更新。

通过命令可以查看更新后的密码。

点击"轮换密码",系统会自动随机生成一个密码以更新组件的密码。

通过命令再次查看更新后的密码。

点击"调度轮换",可以对某一组件的密码设置自动轮换计划。配置为在计划日期的午夜运行,禁用轮换调度,密码轮换将变为手动。

注,当前 VCF 5.2.1 版本设置调度轮换后好像 UI 看不到调度设置,之前的版本应该是可以看到的,不过也可以通过其他方式进行查看。

从"密码管理"列表中可能发现,SDDC Manager 组件的用户好像只有 backup 账户,应该还有 vcf 和 root 用户不在列表中。如果需要更新 vcf 和 root 用户的密码,需要手动 ssh 连接到 SDDC Manager CLI 中去,然后使用 passwd 命令进行更新,如下图所示。

如果 vcf 和 root 用户的密码已经过期了怎么办?可以登录 vCenter Server(vSphere Client),找到 SDDC Manager 虚拟机并打开"WEB 控制台"。

然后使用过期的密码进行本地登录,再使用 passwd 命令更新 root 密码以及 vcf 用户密码。

SDDC Manager 组件除了以上所说的用户以外,其实还有一个本地账户(admin@local),通常使用本地帐户用于访问 VMware Cloud Foundation API,比如当 vCenter Server 关闭/故障,无法使用 SSO 管理员用户([email protected])时,这时这个本地账户就可以不依赖于 SSO 用户独立执行 API 操作。

本地账户可以通过 API 进行更新密码。导航到 API 资源管理器,输入"admin"以筛选 API 类别,然后使用 PATCH /v1/users/local/admin 选项进行更新本地账户的密码。当执行后状态显示为"204,No Content",则表示更新成功。

vCenter Server 组件的默认 SSO 管理员用户具有有效期,所以也需要更新该用户的密码,在 SDDC Manager 中显示为"PSC"资源类型。

当通过 SDDC Manager 更新 SSO 管理员用户的密码时,提示不允许轮换 PSC 凭据。由于默认只有一个 SSO 管理员用户([email protected]),所以需要创建备用的 SSO 管理员用户之后才能执行更新操作。

可以通过登录 vCenter Server(vSphere Client)创建一个 SSO 管理员用户(如 [email protected]),然后在 SDDC Manager 下图的地方添加另外一个"管理员"角色的用户。

SDDC Manger 已添加另外一个 SSO 管理员用户。

使用新的 SSO 管理员用户来登录 SDDC Manager,此时,另外一个 SSO 管理员用户的密码可以成功完成轮换。

如果环境是 VMware Cloud Foundation 5.2.1 版本,也可以通过 vCenter Server(vSphere Client)来管理组件的密码。

使用 SoS 实用程序再次查看组件更新后的密码状态,现在所有组件的密码过期日期已被刷新为最新状态。

复制代码
vcf@vcf-mgmt01-sddc01 [ ~ ]$ sudo /opt/vmware/sddc-support/sos --password-health
[sudo] password for vcf
Welcome to Supportability and Serviceability(SoS) utility!
Performing SoS operation for vcf-mgmt01 domain components
Health Check : /var/log/vmware/vcf/sddc-support/healthcheck-2024-12-07-12-29-31-149728
Health Check log : /var/log/vmware/vcf/sddc-support/healthcheck-2024-12-07-12-29-31-149728/sos.log
NOTE : The Health check operation was invoked without --skip-known-host-check, additional identity checks will be included for Connectivity Health, Password Health and Certificate Health Checks because of security reasons.

SDDC Manager : vcf-mgmt01-sddc01.mulab.local                                                                                
+-------------------------+-----------+
|          Stage          |   Status  |
+-------------------------+-----------+
|         Bringup         | Completed |
| Management Domain State | Completed |
+-------------------------+-----------+
+--------------------+---------------+
|     Component      |    Identity   |
+--------------------+---------------+
|    SDDC-Manager    | 192.168.32.70 |
| Number of Servers  |       4       |
+--------------------+---------------+
Password Expiry Status : GREEN                                                                                 
+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+
| SL# |                Component                |            User           | Last Changed Date | Expiry Date  | Expires in Days | State |
+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+
|  1  |   ESXI : vcf-mgmt01-esxi01.mulab.local  | svc-vcf-vcf-mgmt01-esxi01 |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|  2  |   ESXI : vcf-mgmt01-esxi02.mulab.local  | svc-vcf-vcf-mgmt01-esxi02 |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|  3  |   ESXI : vcf-mgmt01-esxi03.mulab.local  | svc-vcf-vcf-mgmt01-esxi03 |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|  4  |   ESXI : vcf-mgmt01-esxi04.mulab.local  | svc-vcf-vcf-mgmt01-esxi04 |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |
|  5  |    NSX : vcf-mgmt01-nsx01.mulab.local   |           admin           |    Dec 07, 2024   | Mar 07, 2025 |     90 days     | GREEN |
|     |                                         |            root           |    Dec 07, 2024   | Mar 07, 2025 |     90 days     | GREEN |
|     |                                         |           audit           |    Dec 07, 2024   | Mar 07, 2025 |     90 days     | GREEN |
|  6  |   SDDC : vcf-mgmt01-sddc01.mulab.local  |            vcf            |    Dec 07, 2024   | Dec 07, 2025 |     365 days    | GREEN |
|     |                                         |            root           |    Dec 07, 2024   | Mar 07, 2025 |     90 days     | GREEN |
|     |                                         |           backup          |    Dec 07, 2024   | Dec 07, 2025 |     365 days    | GREEN |
|  7  | vCenter : vcf-mgmt01-vcsa01.mulab.local |            root           |    Dec 07, 2024   | Mar 07, 2025 |     89 days     | GREEN |
+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+

Legend:

 GREEN - No attention required, health status is NORMAL
 YELLOW - May require attention, health status is WARNING
 RED - Requires immediate attention, health status is CRITICAL


Health Check completed successfully for : [VCF-SUMMARY, PASSWORD-CHECK]                                                                                
vcf@vcf-mgmt01-sddc01 [ ~ ]$
相关推荐
JUNIOR_MU9 天前
【VMware VCF】启动和关闭 VMware Cloud Foundation 环境的正确顺序。
shutdown·vsphere·vsan·vcenter server·vcf·vmware cloud foundation·nsx manager·vi workload domain·vcls·startup·management workload domain·nsx edge·aira operations for logs·vsphere replication·live site recovery·aira suite lifecycle·workspace one access·aira operations·aira automation·vsphere supervisor
JUNIOR_MU15 天前
【VMware VCF】解决 VCF 环境中组件用户密码过期问题。
sos·svc·service account·vcenter server·vcf·vmware cloud foundation·nsx manager·sddc manager·update password·rotate password·remediate password·lookup_passwords·password management·password expiration
JUNIOR_MU1 个月前
【VMware by Broadcom】VMware 产品套件(2025)
vcf·vmware cloud foundation·vvf·vmware by broadcom·vmware vsphere foundation·vmware vsphere standard·vvs·vmware vsphere enterprise plus·vvep·add-on·vmware cloud foundation edge·vcfe
JUNIOR_MU2 个月前
【VMware vSphere】扩容或缩减 vCenter Server 的磁盘空间大小。
vsphere·vcenter·backup·vcenter server·restore·vami·vmdk·磁盘空间扩容·磁盘空间缩减
JUNIOR_MU4 个月前
【VMware VCF】管理 VCF 环境中组件的密码策略。
powershell·vcf·vmware cloud foundation·powervcf·password management·password policy·password expiration·password complexity·account lockout
JUNIOR_MU5 个月前
【VMware VCF】通过备份的配置文件还原 SDDC Manager 组件。
backup·restore·vcf·vmware cloud foundation·sddc manager·sftp 服务器·vcf api
JUNIOR_MU5 个月前
【VMware VCF】使用 Offline Bundle Transfer Utility(OBTU)配置 VCF 脱机库。
http·apache·vcf·vmware cloud foundation·sddc manager·offline bundle transfer utility·obtu·脱机库·offline depot
JUNIOR_MU5 个月前
【VMware VCF】使用 PowerShell 脚本管理 SDDC Manager 中的软件包。
powershell·包管理·vcf·vmware cloud foundation·sddc manager·powercli·powervcf·vcfbundlemanagement.ps1
JUNIOR_MU6 个月前
【VMware VCF】更新 VCF 5.1 至 VCF 5.2 版本。
esxi·nsx·image·vsphere·lcm·vsan·vcenter server·vlcm·vcf·vmware cloud foundation·nsx manager·sddc manager·映像