默认情况下，VMware Cloud Foundation 使用 vCenter Single Sign-On 作为身份提供程序，并使用系统域作为其身份源，可以将基于 LDAP 和 OpenLDAP 的 Active Directory 添加为 vCenter Single Sign-On 的身份源，也可以配置 Microsoft ADFS、Okta 或 Microsoft Entra ID 作为 VMware Cloud Foundation 的外部身份提供程序，而不是使用 vCenter Server 内置的 vCenter Single Sign-On。

配置了身份提供程序或添加了身份源后，您可以将用户和组添加到 VMware Cloud Foundation，以向用户提供对 SDDC Manager UI 以及 VMware Cloud Foundation 系统中部署的 vCenter Server 和 NSX Manager 实例的访问权限，用户可以根据其分配的角色（管理员、操作员或查看者）登录并执行不同的任务。

注意，SDDC Manager 仅管理“管理工作负载 SSO 域”的用户和组，如果创建的 VI 工作负载域未加入到管理工作负载域的 SSO 域，而是独立的 VI 工作负载 SSO 域，则必须使用 VI 工作负载域 vCenter Server（vSphere Client）来进行管理 SSO 域中的用户和组。

一、了解组件的账户类型

导航到 SDDC Manager UI->安全->密码管理，这个地方可以查看所有由 SDDC Manager 管理的组件账户，这些账户类型主要包含用户账户（USER）、系统账户（SYSTEM）以及服务账户（SERVICE）。服务账户类型由 VMware Cloud Foundation 自动创建，用于产品组件之间的交互，其他账户类型通常是产品组件自身的本地账户。

ESXi 组件的账户类型。

vCenter Server 组件的账户类型。

NSX 组件的账户类型。

SDDC Manager 组件的账户类型。

二、检索组件的用户密码

VCF 环境中的组件账户由 SDDC Manager 管理后，其实可以通过 SDDC Manager 来检索这些组件的账户凭据，比如，当你后续对组件的用户密码进行更新或轮换之后，可能将来某些时候想直接访问这些组件进行维护或故障排除时使用。使用 vcf 用户 ssh 连接到 SDDC Manager CLI，通过 lookup_passwords 命令检索组件的用户密码。

可以直接运行命令并根据选择的组件类型，然后获取对应组件用户的密码。

运行命令并使用 SSO 管理用户认证直接检索 ESXi 组件的用户密码。

lookup_passwords -u administrator@vsphere.local -p Vcf520@password -e ESXI -n 1 -s 20

运行命令并使用 SSO 管理用户认证直接检索 vCenter Server 组件的根用户密码。

lookup_passwords -u administrator@vsphere.local -p Vcf520@password -e VCENTER -n 1 -s 20

运行命令并使用 SSO 管理用户认证直接检索 vCenter Server 组件的 SSO 用户密码。

lookup_passwords -u administrator@vsphere.local -p Vcf520@password -e PSC -n 1 -s 20

运行命令并使用 SSO 管理用户认证直接检索 NSX 组件的用户密码。

lookup_passwords -u administrator@vsphere.local -p Vcf520@password -e NSXT_MANAGER -n 1 -s 20

运行命令并使用 SSO 管理用户认证直接检索 SDDC Manager 组件的备份用户密码。

lookup_passwords -u administrator@vsphere.local -p Vcf520@password -e BACKUP -n 1 -s 20

三、管理组件的用户密码

默认情况下，VCF 环境中组件的用户密码具有有效期，我们可以使用 SoS 实用程序在 SDDC Manager 上运行密码状态检查，如下所示。

vcf@vcf-mgmt01-sddc01 [ ~ ]$ sudo /opt/vmware/sddc-support/sos --password-health

Welcome to Supportability and Serviceability(SoS) utility!

Performing SoS operation for vcf-mgmt01 domain components

Health Check : /var/log/vmware/vcf/sddc-support/healthcheck-2024-12-07-11-10-45-128001

Health Check log : /var/log/vmware/vcf/sddc-support/healthcheck-2024-12-07-11-10-45-128001/sos.log

NOTE : The Health check operation was invoked without --skip-known-host-check, additional identity checks will be included for Connectivity Health, Password Health and Certificate Health Checks because of security reasons.

SDDC Manager : vcf-mgmt01-sddc01.mulab.local

+-------------------------+-----------+

|          Stage          |   Status  |

+-------------------------+-----------+

|         Bringup         | Completed |

| Management Domain State | Completed |

+-------------------------+-----------+

+--------------------+---------------+

|     Component      |    Identity   |

+--------------------+---------------+

|    SDDC-Manager    | 192.168.32.70 |

| Number of Servers  |       4       |

+--------------------+---------------+

Password Expiry Status : GREEN

+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+

| SL# |                Component                |            User           | Last Changed Date | Expiry Date  | Expires in Days | State |

+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+

|  1  |   ESXI : vcf-mgmt01-esxi01.mulab.local  | svc-vcf-vcf-mgmt01-esxi01 |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|  2  |   ESXI : vcf-mgmt01-esxi02.mulab.local  | svc-vcf-vcf-mgmt01-esxi02 |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|  3  |   ESXI : vcf-mgmt01-esxi03.mulab.local  | svc-vcf-vcf-mgmt01-esxi03 |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|  4  |   ESXI : vcf-mgmt01-esxi04.mulab.local  | svc-vcf-vcf-mgmt01-esxi04 |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|  5  |    NSX : vcf-mgmt01-nsx01.mulab.local   |           admin           |    Sep 26, 2024   | Dec 25, 2024 |     18 days     | GREEN |

|     |                                         |            root           |    Sep 26, 2024   | Dec 25, 2024 |     18 days     | GREEN |

|     |                                         |           audit           |    Sep 26, 2024   | Dec 25, 2024 |     18 days     | GREEN |

|  6  |   SDDC : vcf-mgmt01-sddc01.mulab.local  |            vcf            |    Nov 12, 2024   | Nov 12, 2025 |     340 days    | GREEN |

|     |                                         |            root           |    Nov 12, 2024   | Feb 10, 2025 |     65 days     | GREEN |

|     |                                         |           backup          |    Nov 12, 2024   | Nov 12, 2025 |     340 days    | GREEN |

|  7  | vCenter : vcf-mgmt01-vcsa01.mulab.local |            root           |    Sep 26, 2024   | Dec 25, 2024 |     17 days     | GREEN |

+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+

Legend:

 GREEN - No attention required, health status is NORMAL

 YELLOW - May require attention, health status is WARNING

 RED - Requires immediate attention, health status is CRITICAL

Health Check completed successfully for : [VCF-SUMMARY, PASSWORD-CHECK]

vcf@vcf-mgmt01-sddc01 [ ~ ]$

SDDC Manager 可以管理组件的用户密码，比如更新（Update）密码、轮换（Rotate）密码以及修复（Remediate）密码等。更新密码指的是对某一用户“手动”更新自己设置的密码；轮换密码指的是对一个/多个/全部用户“自动”更新生成随机的密码，这种方式可以设置调度轮换，比如每隔 30/60/90 天自动轮换更新一次组件的密码；修复密码指的是当某一组件由于密码已经过期后，管理员只能手动在组件中去更新密码，然后再通过 SDDC Manager 修复组件的密码以同步更新。

注意，ESXi 组件的用户密码不支持调度轮换。

点击“更新密码”，我们可以手动设置一个密码以更新组件的密码。

完成更新。

通过命令可以查看更新后的密码。

点击“轮换密码”，系统会自动随机生成一个密码以更新组件的密码。

通过命令再次查看更新后的密码。

点击“调度轮换”，可以对某一组件的密码设置自动轮换计划。配置为在计划日期的午夜运行，禁用轮换调度，密码轮换将变为手动。

注，当前 VCF 5.2.1 版本设置调度轮换后好像 UI 看不到调度设置，之前的版本应该是可以看到的，不过也可以通过其他方式进行查看。

从“密码管理”列表中可能发现，SDDC Manager 组件的用户好像只有 backup 账户，应该还有 vcf 和 root 用户不在列表中。如果需要更新 vcf 和 root 用户的密码，需要手动 ssh 连接到 SDDC Manager CLI 中去，然后使用 passwd 命令进行更新，如下图所示。

如果 vcf 和 root 用户的密码已经过期了怎么办？可以登录 vCenter Server（vSphere Client），找到 SDDC Manager 虚拟机并打开“WEB 控制台”。

然后使用过期的密码进行本地登录，再使用 passwd 命令更新 root 密码以及 vcf 用户密码。

SDDC Manager 组件除了以上所说的用户以外，其实还有一个本地账户（admin@local），通常使用本地帐户用于访问 VMware Cloud Foundation API，比如当 vCenter Server 关闭/故障，无法使用 SSO 管理员用户（administrator@vsphere.local）时，这时这个本地账户就可以不依赖于 SSO 用户独立执行 API 操作。

本地账户可以通过 API 进行更新密码。导航到 API 资源管理器，输入“admin”以筛选 API 类别，然后使用 PATCH /v1/users/local/admin 选项进行更新本地账户的密码。当执行后状态显示为“204，No Content”，则表示更新成功。

vCenter Server 组件的默认 SSO 管理员用户具有有效期，所以也需要更新该用户的密码，在 SDDC Manager 中显示为“PSC”资源类型。

当通过 SDDC Manager 更新 SSO 管理员用户的密码时，提示不允许轮换 PSC 凭据。由于默认只有一个 SSO 管理员用户（administrator@vsphere.local），所以需要创建备用的 SSO 管理员用户之后才能执行更新操作。

可以通过登录 vCenter Server（vSphere Client）创建一个 SSO 管理员用户（如 vcfadmin@vsphere.local），然后在 SDDC Manager 下图的地方添加另外一个“管理员”角色的用户。

SDDC Manger 已添加另外一个 SSO 管理员用户。

使用新的 SSO 管理员用户来登录 SDDC Manager，此时，另外一个 SSO 管理员用户的密码可以成功完成轮换。

如果环境是 VMware Cloud Foundation 5.2.1 版本，也可以通过 vCenter Server（vSphere Client）来管理组件的密码。

使用 SoS 实用程序再次查看组件更新后的密码状态，现在所有组件的密码过期日期已被刷新为最新状态。

vcf@vcf-mgmt01-sddc01 [ ~ ]$ sudo /opt/vmware/sddc-support/sos --password-health

[sudo] password for vcf

Welcome to Supportability and Serviceability(SoS) utility!

Performing SoS operation for vcf-mgmt01 domain components

Health Check : /var/log/vmware/vcf/sddc-support/healthcheck-2024-12-07-12-29-31-149728

Health Check log : /var/log/vmware/vcf/sddc-support/healthcheck-2024-12-07-12-29-31-149728/sos.log

NOTE : The Health check operation was invoked without --skip-known-host-check, additional identity checks will be included for Connectivity Health, Password Health and Certificate Health Checks because of security reasons.

SDDC Manager : vcf-mgmt01-sddc01.mulab.local

+-------------------------+-----------+

|          Stage          |   Status  |

+-------------------------+-----------+

|         Bringup         | Completed |

| Management Domain State | Completed |

+-------------------------+-----------+

+--------------------+---------------+

|     Component      |    Identity   |

+--------------------+---------------+

|    SDDC-Manager    | 192.168.32.70 |

| Number of Servers  |       4       |

+--------------------+---------------+

Password Expiry Status : GREEN

+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+

| SL# |                Component                |            User           | Last Changed Date | Expiry Date  | Expires in Days | State |

+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+

|  1  |   ESXI : vcf-mgmt01-esxi01.mulab.local  | svc-vcf-vcf-mgmt01-esxi01 |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|  2  |   ESXI : vcf-mgmt01-esxi02.mulab.local  | svc-vcf-vcf-mgmt01-esxi02 |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|  3  |   ESXI : vcf-mgmt01-esxi03.mulab.local  | svc-vcf-vcf-mgmt01-esxi03 |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|  4  |   ESXI : vcf-mgmt01-esxi04.mulab.local  | svc-vcf-vcf-mgmt01-esxi04 |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|     |                                         |            root           |    Dec 02, 2024   |    Never     |      Never      | GREEN |

|  5  |    NSX : vcf-mgmt01-nsx01.mulab.local   |           admin           |    Dec 07, 2024   | Mar 07, 2025 |     90 days     | GREEN |

|     |                                         |            root           |    Dec 07, 2024   | Mar 07, 2025 |     90 days     | GREEN |

|     |                                         |           audit           |    Dec 07, 2024   | Mar 07, 2025 |     90 days     | GREEN |

|  6  |   SDDC : vcf-mgmt01-sddc01.mulab.local  |            vcf            |    Dec 07, 2024   | Dec 07, 2025 |     365 days    | GREEN |

|     |                                         |            root           |    Dec 07, 2024   | Mar 07, 2025 |     90 days     | GREEN |

|     |                                         |           backup          |    Dec 07, 2024   | Dec 07, 2025 |     365 days    | GREEN |

|  7  | vCenter : vcf-mgmt01-vcsa01.mulab.local |            root           |    Dec 07, 2024   | Mar 07, 2025 |     89 days     | GREEN |

+-----+-----------------------------------------+---------------------------+-------------------+--------------+-----------------+-------+

Legend:

 GREEN - No attention required, health status is NORMAL

 YELLOW - May require attention, health status is WARNING

 RED - Requires immediate attention, health status is CRITICAL

Health Check completed successfully for : [VCF-SUMMARY, PASSWORD-CHECK]

vcf@vcf-mgmt01-sddc01 [ ~ ]$

【VMware VCF】管理 VCF 环境中组件的用户密码。的更多相关文章

  1. 在ASP.Net环境中，当用户点击报表中的超链接时如何调用Java Script方法？

    问题描述:在ASP.Net环境中,当用户点击报表中的超链接时如何调用Java Script方法? 问题解答: 你可以在TextObject.Hyperlink对象中编写js代码(javascript: ...

  2. ZooKeeper学习第五期--ZooKeeper管理分布式环境中的数据

    引言 本节本来是要介绍ZooKeeper的实现原理,但是ZooKeeper的原理比较复杂,它涉及到了paxos算法.Zab协议.通信协议等相关知识,理解起来比较抽象所以还需要借助一些应用场景,来帮我们 ...

  3. 【Zookeeper系列】ZooKeeper管理分布式环境中的数据（转）

    原文地址:https://www.cnblogs.com/sunddenly/p/4092654.html 引言 本节本来是要介绍ZooKeeper的实现原理,但是ZooKeeper的原理比较复杂,它 ...

  4. ZooKeeper系列(5)：管理分布式环境中的数据

    引言 本节本来是要介绍ZooKeeper的实现原理,但是ZooKeeper的原理比较复杂,它涉及到了paxos算法.Zab协议.通信协议等相关知 识,理解起来比较抽象所以还需要借助一些应用场景,来帮我 ...

  5. ZooKeeper管理分布式环境中的数据

    Reference: http://www.cnblogs.com/wuxl360/p/5817549.html 本节本来是要介绍ZooKeeper的实现原理,但是ZooKeeper的原理比较复杂,它 ...

  6. 分布式服务框架 Zookeeper — 管理分布式环境中的数据

    本节本来是要介绍ZooKeeper的实现原理,但是ZooKeeper的原理比较复杂,它涉及到了paxos算法.Zab协议.通信协议等相关知识,理解起来比较抽象所以还需要借助一些应用场景,来帮我们理解. ...

  7. ZooKeeper学习第五期--ZooKeeper管理分布式环境中的数据（转）

    转载来源:https://www.cnblogs.com/sunddenly/p/4092654.html 引言 本节本来是要介绍ZooKeeper的实现原理,但是ZooKeeper的原理比较复杂,它 ...

  8. mysql中，root用户密码被遗忘，该如何进行重置？

    需求描述: 在mysql的测试环境中,有时候会遇到一段时间之后root用户的密码被遗忘的情况, 这个时候,就是需要对root密码进行重置,不过,在生产环境中,这种情况还是很少见. 环境描述: 操作系统 ...

  9. 分布式服务框架 Zookeeper -- 管理分布式环境中的数据

    转自:http://www.ibm.com/developerworks/cn/opensource/os-cn-zookeeper/index.html Zookeeper 分布式服务框架是 Apa ...

  10. 分布式服务框架 Zookeeper -- 管理分布式环境中的数据（转载）

    本文转载自:http://www.ibm.com/developerworks/cn/opensource/os-cn-zookeeper/ Zookeeper 分布式服务框架是 Apache Had ...

随机推荐

  1. JavaScript – Fetch

    前言 上一篇 JavaScript – XMLHttpRequest 有提到 XMLHttpRequest 正在被 Fetch 取代,这篇就继续介绍 Fetch 吧. 参考 阮一峰 – Fetch A ...

  2. Spring —— 注解开发（总结）

    XML配置与注解配置对比   

  3. Spring —— 集合注入

    数组注入    List集合注入    set集合注入    Map集合注入    Properties集合注入   

  4. 【赵渝强】使用二进制包部署Kubernetes集群

    在一些企业的私有环境中可能无法连接外部的网络.如果要在这样的环境中部署Kubernetes集群,可以采集Kubernetes离线安装的方式进行部署.即:使用二进制安装包部署Kubernetes集群,采 ...

  5. LeetCode 332. Reconstruct Itinerary 最小欧拉路径

    题意 给N个单词表示N个点,和N-1个单词对,表示可以走的路径,求字典序最小的总路径. 首先说下这么暴力DFS能过.暴力的我都不敢写= = class Solution { public: vecto ...

  6. 什么是 DOM

    百度: DOM 定义:文档对象模型(Document Object Model,简称DOM),是W3C组织推荐的处理可扩展置标语言的标准编程接口.它是一种与平台和语言无关的应用程序接口(API),它可 ...

  7. 《使用Gin框架构建分布式应用》阅读笔记：p1-p19

    <使用Gin框架构建分布式应用>学习第1天,p1-p19总结,总计19页. 一.技术总结 1.go get & go install 执行go get 或者 go install ...

  8. How To Delete Reservations Using Standard API INV_RESERVATION_PUB.Delete_Reservation (Doc ID 2219367.1)

    Solution Summary: The reservation API INV_RESERVATION_PUB.Delete_Reservation will delete reservation ...

  9. 神经网络之卷积篇：详解残差网络为什么有用？（Why ResNets work?）

    详解残差网络为什么有用? 为什么ResNets能有如此好的表现,来看个例子,它解释了其中的原因,至少可以说明,如何构建更深层次的ResNets网络的同时还不降低它们在训练集上的效率.通常来讲,网络在训 ...

  10. Kubernetes 持久化存储之 NFS 终极实战指南

    作者:运维有术星主 在 Kubernetes 生态系统中,持久化存储扮演着至关重要的角色,它是支撑应用稳定运行的基石.对于那些选择自建 Kubernetes 集群的运维架构师而言,选择合适的后端持久化 ...