VCSA 8.0 的VAMI5480端口管理界面证书过期浏览器报证书不安全、连接失败无法登录VAMI配置页面。vCenter主证书正常唯独5480端口VAMI证书失效可访问VCSA内置cgi接口/opt/vmware/share/doc/vami/updateISEv2.cgi触发证书重定向刷新重新生成VAMI服务证书无需重启整个VCSA虚拟机。一、机房现场故障踩坑背景生产VCSA8.0 U3环境vCenter Web Client 443端口访问正常证书有效但是5480端口VAMI配置页面打开直接证书过期告警无法进入VAMI系统配置界面。运维执行cert‑manager证书更新仅更新vCenter主服务证书VAMI 5480证书依旧过期。重启VCSA整机后问题仍然存在。​ 1.1 初期无效排查操作使用VCSA证书管理界面更新全部证书重启vmware‑*全套服务重启VCSA虚拟机替换machine ssl证书操作完成5480 VAMI证书过期告警没有消除。1.2 分层定位真实故障根因VAMI服务使用独立证书并不跟随vCenter主证书自动同步更新。cert‑manager更新主要面向vCenter、STS、machine SSL等组件不会自动刷新VAMI 5480端口证书需要调用VCSA内置updateISEv2.cgi脚本接口触发VAMI证书重新生成。 现场验证修复SSH登录VCSA访问本地updateISEv2.cgi接口刷新证书等待几分钟5480端口VAMI证书刷新为有效正常登录VAMI管理页面。二、VAMI证书过期底层原理1、VAMI证书独立性VCSA中443端口vCenter WebUI证书、5480端口VAMI证书属于两套独立证书。执行vCenter全局证书替换只更新vCenter业务组件证书VAMI(ISE)证书不会被同步更新。2、updateISEv2.cgi接口作用updateISEv2.cgi是VCSA内置cgi脚本专门用于重新生成、刷新VAMI5480服务所需的ISE证书读取VCSA内部CA信息重新签发VAMI服务证书文件。3、故障典型特征443 vCenter网页访问正常证书有效5480端口VAMI页面提示证书过期SSH可以正常登录VCSA appliancevmware‑vami服务进程运行正常。4、证书文件存储位置VAMI相关证书存放在 /etc/vmware‑vami/ 目录脚本执行成功后会自动更新该目录下crt、key文件不需要手动修改证书文件。三、标准化排查判断标准与操作流程1、前置条件确认SSH可以正常登录VCSAvCenter内部SSO、STS服务状态正常VCSA内部CA根证书没有损坏vmware‑vami服务状态为running。执行 service‑control‑status vmware‑vami 确认服务状态。2、调用cgi接口刷新证书两种方式方式一VCSA本地curl调用推荐SSH登录VCSA执行 curl http://127.0.0.1:5480/updateISEv2.cgi脚本执行返回OK代表触发证书刷新任务。方式二浏览器访问浏览器访问 http://vcsa‑ip:5480/updateISEv2.cgi页面返回OK触发VAMI证书重生成。注意是http不是https。3、等待证书生成与重载服务脚本返回OK不等于证书立刻完成写入等待2‑5分钟重启VAMI服务service‑control‑restart vmware‑vami。4、验证证书结果浏览器打开https://vcsa‑ip:5480查看证书有效期或者使用openssl s_client‑connect vcsa‑ip:5480 查看证书到期时间。5、接口调用失败场景如果cgi调用返回报错检查/var/log/vmware‑vami/vami.log日志排查CA、权限、目录权限异常。四、高频故障排错清单故障现象根因分析标准解决方案vCenter 443证书正常5480 VAMI证书过期告警无法登录VAMI使用独立ISE证书全局证书更新不会同步刷新VAMI证书调用http://127.0.0.1:5480/updateISEv2.cgi触发证书刷新重启vmware‑vami服务访问updateISEv2.cgi页面404找不到页面脚本路径变更或vmware‑vami服务未正常运行确认vmware‑vami服务启动核对VCSA版本确认使用http协议不要https访问cgi接口cgi接口返回OK但VAMI证书有效期没有变化证书生成任务异步执行未等待完成或者未重启VAMI服务等待3‑5分钟执行service‑control‑restart vmware‑vami再验证证书调用cgi报错vami.log日志报CA相关错误VCSA内部vCenter CA组件异常无法签发VAMI证书检查STS、cert‑manager服务状态修复vCenter内部CA后再执行cgi刷新接口手动替换/etc/vmware‑vami下证书文件VAMI仍然异常手动替换证书缺少权限与内部注册VAMI不识别手动导入证书禁止直接手动修改VAMI证书文件统一使用updateISEv2.cgi脚本生成证书五、运维高频误区避坑1.误区更新vCenter全套证书VAMI 5480证书就会自动更新纠正VAMI(ISE)证书独立vCenter证书管理器不会处理VAMI证书需要单独调用cgi脚本刷新。2.误区使用https访问updateISEv2.cgi接口纠正cgi接口仅监听httphttps访问会直接证书报错必须用http协议调用脚本。3.误区脚本返回OK证书就立刻生效不需要等待和重启服务纠正cgi只是触发异步任务需要等待几分钟并且重启vmware‑vami服务新证书才会加载。4.误区直接手动替换/etc/vmware‑vami目录证书密钥文件修复过期纠正手动替换会产生权限、注册信息缺失VAMI服务可能直接启动失败官方不建议手动修改。5.误区VAMI证书过期需要重建整个VCSA或者恢复备份纠正优先调用updateISEv2.cgi刷新绝大多数场景不需要恢复备份。六、VCSA证书运维标准化规范巡检规范VCSA证书巡检除443 vCenter证书外增加5480 VAMI端口证书有效期检查避免VAMI证书过期无法维护VCSA。故障处置规范5480 VAMI证书过期优先调用updateISEv2.cgi接口刷新不优先使用整机重启、备份恢复手段。操作规范调用cgi接口必须使用http协议执行后等待时间重启vmware‑vami服务再验证证书有效期。日志排查规范刷新失败查看/var/log/vmware‑vami/vami.log优先确认vCenter内部CA、STS服务状态正常。升级后校验规范VCSA版本升级完成后核查5480 VAMI证书状态部分升级场景会造成VAMI证书异常。