本文详解ESXi主机SSL证书配置全流程，包含证书替换失败排查技巧、自动化更新方案设计及与vCenter协同配置要点，提供可视化操作指南与真实案例参考。
一、ESXi证书过期导致无法访问怎么办
问题聚焦：许多管理员发现ESXi主机突然无法连接，控制台提示”证书无效”，这种情况多由SSL证书过期引起。
解决方案：通过SSH连接主机后，使用openssl x509 -in /etc/vmware/ssl/rui.crt -noout -dates查看有效期。推荐采用分阶段更新策略：
- 测试环境：直接生成新证书替换
- 生产环境：先部署临时证书再热迁移
案例说明：某游戏公司运维团队在2023年Q3遭遇证书过期事故，通过备份证书还原+定时更新机制，将业务中断时间从4小时缩短至15分钟。
二、自动化证书轮换配置指南
问题聚焦：手动更新证书效率低下，存在人为失误风险，如何实现证书自动续期？
解决方案：基于PowerCLI构建自动化流程：
Connect-VIServer -Server esxi01
Get-VMHostCertificate | Set-VMHostCertificate -NewCertificatePath cert.pem -PrivateKeyPath key.pem配合Let’s Encrypt的ACME协议实现90天自动续期，需注意：
- 设置证书更新前30天提醒
- 配置证书变更审计日志
- 建立回滚机制
案例说明：某金融客户采用Ansible+Let’s Encrypt方案，将证书管理耗时从每月8小时降为0.5小时。
三、vCenter与ESXi证书同步优化
问题聚焦：多主机环境证书不同步导致管理平台告警频发，如何保持证书一致性？
解决方案：实施证书链统一管理策略：
- 使用同一CA签发的证书
- 配置证书信任链时包含中间证书
- 通过vSphere Certificate Manager工具批量部署
案例说明：某制造企业通过自定义CA+证书模板，使50台ESXi主机证书更新操作从3天缩短至2小时。
四、FAQ高频问题速查
- Q：证书更新后服务需要重启吗？
- A：ESXi 7.0及以上版本支持证书热替换，无需重启主机服务
- Q：自签名证书如何被浏览器信任？
- A：将根证书导入客户端信任库，或改用OV/EV型证书
- Q：如何验证证书配置是否正确？
- A：使用SSL Labs测试工具检测协议支持情况
