Alarme vCenter Certificate Status causado por certificados expirados no BACKUP_STORE

Problema

O objeto vCenter Server apresenta um alarme persistente:

Certificate Status

No entanto, os certificados ativos do vCenter continuam válidos.

Isto pode acontecer quando certificados antigos criados durante uma substituição anterior permanecem no VMware Endpoint Certificate Store (VECS) BACKUP_STORE e acabam por expirar.

Sintomas típicos

• O objeto vCenter apresenta um alarme vermelho Certificate Status
• MACHINE_SSL_CERT continua válido
• Solution User certificates continuam válidos
• Trusted root certificates continuam válidos
• As únicas entradas expiradas são aliases como:

bkp___MACHINE_CERT
bkp_machine
bkp_vsphere-webclient
bkp_vpxd
bkp_vpxd-extension
bkp_hvc
bkp_wcp

Estas entradas são backups históricos e não são os certificados ativos utilizados pelo vCenter.

Porque acontece

Quando os certificados do vCenter são substituídos, versões anteriores de Machine SSL e Solution User certificates podem ser copiadas para backup VECS stores para permitir rollback.

A Broadcom documenta que certificados expirados em BACKUP_STORE ou BACKUP_STORE_H5C podem disparar o alarme genérico Certificate Status.

O comportamento depende da versão. vCenter 7.0 Update 3 e posteriores evitam disparar o alarme para entradas expiradas em BACKUP_STORE, embora BACKUP_STORE_H5C possa continuar a exigir limpeza.

Step 1 - Verificar todos os VECS stores

Liga por SSH ao VCSA como root, entra em Bash shell se necessário e executa:

for store in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list | grep -v TRUSTED_ROOT_CRLS); do
  echo "===== STORE: $store ====="
  /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store "$store" --text |
  grep -ie "Alias" -ie "Not After"
done

Analisa todas as datas Not After.

Não assumas que o Machine SSL certificate é o problema apenas porque o alarme se chama Certificate Status.

Step 2 - Distinguir certificados ativos de backup certificates

Um resultado saudável pode mostrar certificados ativos válidos por vários anos:

===== STORE: MACHINE_SSL_CERT =====
Alias : __MACHINE_CERT
Not After : Dec 10 10:38:05 2028 GMT

===== STORE: machine =====
Alias : machine
Not After : Dec 10 10:39:06 2028 GMT

enquanto o backup store contém entradas históricas expiradas:

===== STORE: BACKUP_STORE =====
Alias : bkp___MACHINE_CERT
Not After : Dec 5 14:53:14 2025 GMT

Alias : bkp_machine
Not After : Dec 5 14:57:40 2025 GMT

Se apenas os backup certificates estiverem expirados, não renoves os Machine SSL ou Solution User certificates ativos.

Step 3 - Proteger o vCenter antes de alterar VECS

Antes de alterares certificate stores, segue os requisitos de rollback da Broadcom.

Num vCenter standalone, cria um backup ou snapshot suportado.

Em Enhanced Linked Mode, a Broadcom exige coordinated powered-off snapshots de todos os vCenter Servers no mesmo SSO domain.

Step 4 - Utilizar vCert para limpar entradas expiradas de BACKUP_STORE

Descarrega a versão atual do vCert a partir da KB oficial da Broadcom, copia-a para o VCSA, valida o checksum publicado para essa versão, extrai e executa:

./vCert.py

No menu seleciona:

3. Manage Certificates
12. Clear expired certificates in BACKUP_STORE in VECS

A ferramenta identifica as entradas expiradas e remove-as do backup store.

Uma execução bem-sucedida apresenta OK para os aliases afetados.

Step 5 - Confirmar que o backup store ficou limpo

Depois de sair do vCert, executa:

/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store BACKUP_STORE --text |
grep -ie "Alias" -ie "Not After"

Se as entradas expiradas tiverem sido removidas e não existirem entradas que correspondam ao filtro, o comando não devolve output.

Se existir BACKUP_STORE_H5C no ambiente, valida também esse store.

Step 6 - Fazer reset ao alarme

Depois de remover as entradas expiradas e confirmar que os certificados ativos estão saudáveis:

vCenter Server
  -> Monitor
  -> Issues and Alarms
  -> Triggered Alarms
  -> Certificate Status
  -> Reset to Green

O alarme pode permanecer triggered mesmo depois da condição subjacente estar resolvida, por isso pode ser necessário um reset manual.

Impacto operacional

Limpar backup certificates expirados não substitui os Machine SSL ou Solution User certificates ativos.

A Broadcom indica que certificados expirados em BACKUP_STORE não têm impacto operacional por si só porque são cópias históricas de backup.

Um restart dos serviços vCenter não é normalmente necessário quando o vCert limpa corretamente as entradas e o alarme pode ser reposto.

Alternativa manual

Se o vCert não conseguir limpar o store, a Broadcom documenta um método manual.

Lista as entradas:

/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store BACKUP_STORE

Apaga apenas o alias de backup expirado já confirmado:

/usr/lib/vmware-vmafd/bin/vecs-cli entry delete   --store BACKUP_STORE   --alias <expired_backup_alias>

Utiliza o método manual apenas depois de confirmares que os certificados ativos são válidos e que existe rollback protection.

Checklist de validação

Confirma:

• Active Machine SSL certificate válido
• Solution User certificates válidos
• Trusted Roots válidas
• Entradas expiradas de BACKUP_STORE removidas
• Serviços vCenter saudáveis
• Certificate Status reposto a green
• O alarme não regressa na próxima certificate health evaluation

Prevenção / boas práticas

• Verifica todos os VECS stores quando aparece um alarme genérico de certificados
• Mantém um VCSA backup atual
• Utiliza vCert para workflows suportados de certificate health e cleanup
• Não renoves certificados ativos saudáveis apenas porque backups antigos expiraram
• Regista a versão do vCenter porque o comportamento do alarme BACKUP_STORE depende da versão
• Verifica o estado dos certificados depois de cada certificate replacement

Sequência rápida de diagnóstico

# List all stores and certificate expiry dates
for store in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list | grep -v TRUSTED_ROOT_CRLS); do
  echo "===== STORE: $store ====="
  /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store "$store" --text |
  grep -ie "Alias" -ie "Not After"
done

# Check BACKUP_STORE after cleanup
/usr/lib/vmware-vmafd/bin/vecs-cli entry list --store BACKUP_STORE --text |
grep -ie "Alias" -ie "Not After"

Conhecimento relacionado

• vCenter Server certificate stores and common certificate alarms
• vCenter virtual disks show 0 GB or blank properties due to SSL trust mismatch
• ESXi Host Certificate Status shows Expiration imminent

Fontes

Consulta as referências oficiais da Broadcom indicadas nos metadados do artigo.