А vcenter single sign on service error occurred active directory

Недавно столкнулся с ситуацией, что перестал работать VCenter (в моём случае версия 6.5 – VCSA, но подобное может быть с любой версией не зависимо от платформы).

При попытке зайти как под доменной учёткой, так и под локальным админом – не проходила проверка подлинности – постоянно писало – сперва, что неправильные имя пользователя или пароль, а затем и вовсе, что требуется ввести имя пользователя и пароль, хотя они само собой были введены.

После попытки перезагрузить сервер или все службы командами service-control —stop —all и service-control —start —all добрая половина служб не запускалась, при этом на главной странице vcenter – выскакивала ошибка 503

При переходе по адресу vcenter/ui – появлялась ошибка

[400] An error occurred while sending an authentication request to the vCenter Single Sign-On server. An error occurred when processing the metadata during vCenter Single Sign-on setup – null.

В моём случае проблема оказалась в протухшем STS сертификате. Далее я пишу для своего случая, именно для VCSA, если у вас vCenter на винде, то читайте KBшки, ссылки на которые указаны, там есть описания, что делать для виндовых случаев.

Чтобы посмотреть срок действия STS сертификатов нужно скачать скрипт из KB VMWare. На всякий случай скопировал его.

Скачать можно при помощи wget, ну или закинуть на сервере через WinSCP, ну или просто скопировать текст скрипта и вставить в файл на сервере.

Запускается он командой:

python checksts.py

После выполнения будут отображены действительные и просроченные STS сертификаты. Если найдется просроченный сертификат, то внизу будет подсказка на какую KB стоит посмотреть.

В этой KB имеется скрипт, на всякий случай – копия, для обновления просроченных STS сертификатов, конечно как водится, перед запуском чего-бы то ни было – рекомендуется сделать бэкапы, снапшоты и т.д и т.п. Также обратите внимание, что если у вас в одном SSO домене находится несколько vCenter серверов – то запускать скрипт нужно только на одном.

В общем качаем скрипт, делаем его исполняемым и запускаем:

chmod +x fixsts.sh
./fixsts.sh

Если всё пройдет без ошибок – можно пробовать перезапустить все службы:

service-control --stop --all
service-control --start --all

Если окажется, что есть еще какие-нибудь протухшие сертификаты, то службы всё равно могут не стартануть. Найти все просроченные сертификаты поможет команда:

for i in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list); 
do echo STORE $i; 
/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store $i --text | 
egrep "Alias|Not After"; done

Соответственно нужно будет такие сертификаты обновить и снова попробовать перезапустить все службы. Либо, можно пойти простым и топорным путём, и перевыпустить вообще все сертификаты:

/usr/lib/vmware-vmca/bin/certificate-manager

Тут нужно будет выбрать 8й пункт, и далее следовать инструкциям на экране. Но используйте эту команду на свой страх и риск, если используются сторонние сервисы/плагины/кастомизированные шаблоны то это дело скорее всего нужно будет перенастраивать.

После описанных выше действий у меня vCenter починился, и работает нормально. Вообще какое-то странное решение у VMWare с этим ультраважным сертификатом. Возникает вопрос – почему нельзя было сделать, что б он автоматически перевыпускался, когда походит к концу срок его действия?

• 

  pure capsaicin

  VMware Expert

  • check
    361
    Best Answers
  • thumb_up
    999
    Helpful Votes

  I never understand why people do this in workstation, but your DNS FQDN needs to be correct and you need to be able to resolve the DNS name of the VCSA server.

  https://servername.domain.com Opens a new window not simply https://servername/ Opens a new window this doesn’t work with SSO

  Both your forward and reverse DNS must exist for this VCSA and your VCSA must be able to see it in DNS using the DNS servers you configured.

  It is by design this does not work with only the NetBIOS name.

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  both forward and reverse lookups are resolving fine for the vCenter FQDN..

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  pure capsaicin

  VMware Expert

  • check
    361
    Best Answers
  • thumb_up
    999
    Helpful Votes

  But your screenshot shows you using only the NetBIOS name and this is why it is not working.

  The error is also advising you what to do

  «Verify that the server URL is correct and is in FQDN format»

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  The screenshot happened to have been taken after the webclient.properties file was changed to see if it accepts w-vcsa-sddc.

  Whether I use https://servername.domain.com Opens a new window or  https://servername/ Opens a new window the result is the same as in the screenshot.

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  pure capsaicin

  VMware Expert

  • check
    361
    Best Answers
  • thumb_up
    999
    Helpful Votes

  I can’t say I’ve ever named a VCSA with hyphens, your issue could be related to this if it works with an IP.

  Since this is clearly a lab, you could try again without hyphens

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  Thanks I’ll try it out and update accordingly..

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  So I got this working, by using FQDN in initial VMware Workstation setup window instead of using IP unlike vCenter 6.7 which works fine even if IP address is used.

  

  

  Thanks..

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  pure capsaicin

  VMware Expert

  • check
    361
    Best Answers
  • thumb_up
    999
    Helpful Votes

  So you did as both myself and the error suggested, yet you get the credit?

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  My apologies I got excessively happy of the problem being resolved while forgetting the help provided..

  Thanks again Rod-IT​ 😀

  
  Was this post helpful?
  thumb_up
  thumb_down
  

• 

  pure capsaicin

  VMware Expert

  • check
    361
    Best Answers
  • thumb_up
    999
    Helpful Votes

  FYI, I was not interested so much in the points or the BA, just noting it as people will only help if they get credit for doing so.

  Glad to see it’s sorted though

  
  1 found this helpful
  thumb_up
  thumb_down
  

After installing VMware vCenter Server Appliance (VCSA) 6.5, we only have a «vSphere.local» single sign-on (SSO) domain where we can create users and groups. But wouldn’t it be better if you could integrate your existing Microsoft Active Directory (AD) environment with your organizational structure of groups and users? You don’t have to start over creating these just for VMware. We just need to link the AD environment to the VMware SSO.

We also have to grant some permissions to the enterprise AD administrator, otherwise, he or she will not be able to manage the environment.

I assume that you have already fired up the vSphere web client and logged in using the administrator@vsphere.local account and password we set up in our previous post. Once done, click the System Configuration button on the main screen. You’ll end up in the System Configuration section. Click the Nodes section on the left.

All nodes will appear below. As we have only a single node (we’re not using vCenter’s linked mode), select the node > Manage tab > Active Directory > Join button.

Enter the necessary details. As you can see, a message says you have to reboot the node manually.

After the reboot, you’ll have to wait a few minutes until all services are up and the vSphere web client initializes itself.

Log back in, and from the main screen, click the Home button and Administration. Under Single Sign-On, select the Configuration menu, the Identity Source tab and then click the green + sign to Add identity source.

Four options appear. We’ll stick with Active Directory (Integrated Windows Authentication).

On the next page, the domain should already display with the Use machine account radio button pre-selected.

Click the Next button and then Finish. You should see the Identity Sources tab populated with your Active Directory.

As mentioned at the beginning, we’ll need to grant a few permissions for the domain administrator (or any other account) to manage the vSphere environment.

On the same page, move one level up to the Access control section and select Global Permissions.

Click Add a new user and then select the user from the Active Directory.

Next, validate by clicking the OK button.

This is just first part of the procedure. We still have to add the domain administrator to some vSphere.local groups. We’ll do that in a second.

Select Users and Groups > Groups tab > Administrators. Add the domain admin account to the local administrators group.

Click the Add button and validate with the OK button. Repeat the procedure for ComponentManager.Administrators, LicenseService.Administrators, CAAdmins, SystemConfiguration.Administrators, SystemConfiguration.BashShellAdministrators and Users.

You should now be able to log in as a domain admin. And if you’re already logged in as a domain admin on your system, you can simply check the box to Use Windows session authentication.

You can then see in the top right corner that you have logged in as domain admin.

Subscribe to 4sysops newsletter!

Configuring a vCenter PSC Single sign-on Active directory Integrated windows authentication