ESXi Host Certificate Status apresenta Expiration imminent

Problema

O vCenter Server apresenta o alarme:

ESXi Host Certificate Status

e a página do host certificate mostra:

Status: Expiration imminent

O ESXi host pode continuar ligado e todas as VMs em execução podem continuar a funcionar normalmente.

Este alerta é normalmente apresentado antes de o certificado expirar, dando tempo aos administradores para o renovar antes de a management connectivity ser afetada.

Ambiente / âmbito

Este procedimento aplica-se a ESXi hosts geridos pelo vCenter Server quando o host certificate é assinado pela VMware Certificate Authority (VMCA).

O workflow foi validado num ambiente vSphere 7.x em produção. Todos os endereços, hostnames, domínios e datas apresentados abaixo são exemplos anonimizados.

Comportamento esperado

Um ESXi host certificate saudável deve:

• Estar dentro do período de validade
• Ter uma chain para uma CA válida e trusted
• Apresentar um estado saudável no vCenter
• Ter validade restante suficiente para não gerar alarmes de certificate expiration

A Broadcom documenta que o vCenter apresenta normalmente o alarme de ESXi host certificate cerca de 30 dias antes da expiração.

Comportamento observado

Exemplo:

Subject: CN=esxi01.lab.example.com
Issuer: VMCA
Valid from: 2021-10-19
Valid to:   2026-10-19
Status: Expiration imminent

O host permanece ligado, mas o vCenter mostra um alarme vermelho ou de warning relacionado com o certificado.

Causa raiz

O host certificate está próximo da data de expiração.

Quando o ESXi host utiliza um VMCA-signed certificate, a ação corretiva normal é fazer com que o vCenter peça e instale um novo host certificate emitido pela VMCA.

Antes de o renovares, confirma que o próprio VMCA Root certificate ainda é válido. Um leaf certificate não pode ser emitido com validade para além da data de expiração da CA que o assina.

Workflow de diagnóstico

1. Verificar o ESXi host certificate

No vSphere Client:

Hosts and Clusters
  -> Select the ESXi host
  -> Configure
  -> System
  -> Certificate

Verifica:

• Subject
• Issuer
• Valid from
• Valid to
• Status

Se o estado for Expiration imminent, compara a data atual com Valid to.

2. Confirmar que o certificado é VMCA-signed

Consulta o campo Issuer.

Num ambiente gerido pela VMCA por defeito, o issuer identifica normalmente a certificate authority do vCenter/VMCA.

Se o ambiente utilizar custom CA-signed host certificates, não assumas que o workflow de renovação VMCA se aplica. Segue o processo de certificados da CA configurada.

3. Validar o VMCA Root certificate

Antes de renovares o ESXi host certificate, vai a:

vCenter
  -> Administration
  -> Certificate Management
  -> Trusted Root Certificates

Abre o VMCA Root certificate e confirma:

• Status válido
• Valid until suficientemente no futuro

Exemplo:

VMCA Root
Status: Valid
Valid until: 2035-12-05

Se o VMCA Root estiver também próximo da expiração, renova ou substitui primeiro o root certificate. Caso contrário, um novo host certificate pode herdar um período de validade curto e o alarme pode permanecer.

4. Verificar pré-requisitos básicos

Antes da renovação, confirma:

• O ESXi host está ligado ao vCenter
• A resolução DNS entre vCenter e o host funciona
• A sincronização de tempo está correta
• O vCenter Machine SSL certificate está válido
• Em versões mais antigas, o host não está em maintenance mode durante a operação de renovação

Resolução

1. Renovar o host certificate

Para versões vCenter anteriores a 8.0 Update 3:

Host
  -> Configure
  -> System
  -> Certificate
  -> Renew

Confirma a operação.

Em versões mais recentes, onde a UI utiliza o workflow de gestão VMCA:

Host
  -> Configure
  -> System
  -> Certificate
  -> Manage with VMCA
  -> Renew

O vCenter solicita um novo host certificate assinado pela VMCA e instala-o no ESXi host.

Renew vs Refresh CA Certificates

Estas ações não são equivalentes.

Renew

• Gera um novo ESXi host certificate
• Assina-o com VMCA
• Envia o novo host certificate para o ESXi
• Atualiza também os VMCA CA certificates relevantes

Refresh CA Certificates

• Envia os VMCA CA/root certificates para o host
• Não substitui, por si só, o ESXi host certificate

Para um host certificate com Expiration imminent, utiliza Renew.

Impacto operacional

A Broadcom documenta que normalmente não é esperada interrupção de serviço ao renovar o host certificate através do vCenter.

As VMs em execução não são desligadas por esta operação.

No entanto, como a renovação do certificado afeta o ESXi management plane e a relação de trust com o vCenter, executa a alteração numa maintenance window controlada sempre que seja prático.

Validação

Depois de concluída a renovação, regressa a:

Host
  -> Configure
  -> System
  -> Certificate

Confirma:

• Valid from corresponde ao novo certificado emitido
• Valid to foi prolongado para uma data futura
• O estado deixou de ser Expiration imminent
• O host permanece ligado ao vCenter

Depois verifica o alarme na página summary do host.

Se necessário, acknowledge ou reset o alarme depois de o estado do certificado estar saudável.

Se o alarme permanecer depois da renovação

Se a tarefa de renovação terminar com sucesso mas o novo certificado continuar a expirar em breve, volta a verificar o VMCA Root certificate.

Uma causa comum é um VMCA Root próximo da expiração. O ESXi certificate não pode continuar válido para além da CA que o assina.

Se o VMCA Root estiver próximo da expiração:

1. Protege o vCenter com o procedimento de backup/snapshot recomendado pelo fabricante.
2. Substitui ou renova o VMCA Root utilizando as ferramentas de certificados suportadas pela Broadcom.
3. Renova novamente o ESXi host certificate.
4. Valida a nova data de expiração.

Não renoves repetidamente o host certificate sem verificares a issuing CA.

Validação CLI opcional

Se SSH estiver ativo no ESXi host, podes inspecionar o certificado atual sem fazer alterações:

openssl x509 -in /etc/vmware/ssl/rui.crt -noout -subject -issuer -dates -serial

Exemplo de output:

subject=CN = esxi01.lab.example.com
issuer=CN = lab-vmca
notBefore=Sep 22 15:00:00 2026 GMT
notAfter=Sep 22 15:00:00 2031 GMT
serial=...

Este é um comando de validação read-only.

Prevenção / boas práticas

• Monitoriza os alarmes de certificados do vCenter em vez de esperar pela expiração
• Revê periodicamente a validade dos ESXi host certificates
• Valida a validade do VMCA Root antes de campanhas grandes de certificate renewal
• Mantém DNS e NTP funcionais entre vCenter e ESXi hosts
• Documenta se o ambiente utiliza VMCA ou custom host certificates
• Valida imediatamente a nova data Valid to após a renovação
• Utiliza Renew para um host certificate a expirar e não Refresh CA Certificates

Workflow rápido

ESXi Host Certificate Status alarm
        |
        v
Check Host -> Configure -> System -> Certificate
        |
        v
Is certificate close to expiry?
        |
       Yes
        |
        v
Check VMCA Root validity
        |
        +-- Root expiring -> Renew/replace VMCA Root first
        |
        +-- Root healthy
                |
                v
              Renew
                |
                v
       Validate new expiration date
                |
                v
         Clear/reset alarm

Artigos relacionados

• vCenter virtual disks show 0 GB or blank properties due to SSL trust mismatch
• vCenter certificate and Lookup Service health checks — planeado

Fontes

Consulta as referências oficiais da Broadcom indicadas nos metadados do artigo.