Users Guide

如何解决 VMware 证书颁发机构 VMCA 导致的错误代码
2000000
当您运行 vSphere 证书管理器和更换 vCenter 服务器或平台控制器服务 (PSC) 证书为新的 CA 证书和 vCenter 6.0 密钥时，OMIVV 显
示错误代码 2000000 并引发异常。
解决方案：要解决此异常，您应更新服务的 ssl 锚。ssl 锚可通过在 PSC 上运行 ls_update_certs.py 脚本进行更新。脚本将旧证
书记录指纹用作输入参数，且新证书已安装。旧证书是更换前的证书，新证书是更换后的证书。有关详情，请访问 https://
kb.vmware.com/selfservice/search.do?cmd=displayKC&docType=kc&docTypeID=DT_KB_1_1&externalId=2121701 和 https://
kb.vmware.com/selfservice/search.do?cmd=displayKC&docType=kc&docTypeID=DT_KB_1_1&externalId=2121689。
在 Windows vSphere 6.0 中更新 ssl 锚
1. 从 https://kb.vmware.com/selfservice/search.do?cmd=displayKC&docType=kc&docTypeID=DT_KB_1_1&externalId=2121701.下载
lstoolutil.py.zip 文件。
2. 将 lstoolutil.py 文件复制至 %VMWARE_CIS_HOME%"\VMware Identity Services\lstool\scripts\ 文件夹。
注: 如果您正在使用 vSphere 6.0 Update 1，请勿更换 lstoolutil.py 文件。
您可以使用以下相关步骤更新 ssl 锚：
• 更新安装在 Windows 操作系统中的 vCenter ssl 锚：使用 vSphere 证书管理器公用程序更换 vCenter Windows 安装上的证书。请
参阅更换 vCenter Windows 安装中的证书 页面上的 127。
• 更新 vCenter 服务器设备的 ssl 锚：使用 vSphere 证书管理器公用程序更换 vCenter 服务器设备的证书。请参阅更换 vCenter 服务
器设备上的证书 页面上的 128。
从上述提及的步骤中获得的输出应分别显示 Updated 24 service (s) 和 Updated 26 service (s)。如果输出显示
Updated 0 service (s)，则表示旧证书指纹不正确。您可以执行以下步骤，检索旧证书的指纹记录。如果未使用 vCenter 证书
管理器来更换证书，也请使用以下步骤以检索旧证书指纹：
注: 使用获得的旧指纹运行 ls_update_certs.py。
1. 检索管理对象浏览器 (MOB) 中的旧证书。请参阅检索管理对象浏览器 (MOB) 中的旧证书 页面上的 128。
2. 从旧证书中提取指纹。请参阅从旧证书中提取指纹 页面上的 129。
受影响的版本：3.0 和更高版本，vCenter 6.0 和更高版本
更换 vCenter Windows 安装中的证书
如果在安装 vCenter Windows 时使用 vSphere Certificate Manager 公用程序更换证书，请执行以下步骤：
1. 通过远程桌面连接连接到外部平台服务控制器。
2. 在管理模式下打开命令提示符。
3. 使用以下命令创建 C:\certificates\ 文件夹：mkdir c:\certificates
4. 使用以下命令检索旧证书："%VMWARE_CIS_HOME%"\vmafdd\vecs-cli entry getcert --store BACKUP_STORE --
alias bkp___MACHINE_CERT --output c:\certificates\old_machine.crt
5. 使用以下命令检索旧证书记录指纹："%VMWARE_OPENSSL_BIN%" x509 -in C:\certificates\old_machine.crt -
noout -sha1 -fingerprint
注: 检索到的证书指纹为以下格式：SHA1
Fingerprint=13:1E:60:93:E4:E6:59:31:55:EB:74:51:67:2A:99:F8:3F:04:83:88
指纹由一系列数字和字母组成，如下所示：13:1E:60:93:E4:E6:59:31:55:EB:74:51:67:2A:99:F8:3F:04:83:88
6. 使用以下命令检索新证书："%VMWARE_CIS_HOME%"\vmafdd\vecs-cli entry getcert --store
MACHINE_SSL_CERT --alias __MACHINE_CERT --output c:\certificates\new_machine.crt
7. 请执行下列步骤：
a. 使用以下命令运行 ls_update_certs.py。 "%VMWARE _PYTHON_BIN%" ls_update_certs.py --url
b. 使用以下命令将 psc.vmware.com 替换为 Lookup_Service_FQDN_of_Platform_Services_Controller，将
13:1E:60:93:E4:E6:59:31:55:EB:74:51:67:2A:99:F8:3F:04:83:88 指纹替换为在第 5 步中获得的指纹：https://
psc.vmware.com/lookupservice/sdk --fingerprint
13:1E:60:93:E4:E6:59:31:55:EB:74:51:67:2A:99:F8:3F:04:83:88 --certfile c:\certificates
\new_machine.crt --user [e-mail] --password Password
常见问题-FAQ 127