一键登录 更安全快捷
获取验证码
密码登录
验证码登录
登录
登录/注册
0
收藏
VCSA的VAMI即为5480端口设备管理界面，默认使用VMware自签名证书，浏览器访问持续告警不安全。很多运维会混淆VAMI证书与vCenter Machine‑SSL证书，二者属于两套独立证书。本文讲解如何在VAMI页面直接导入企业CA签发PEM证书，包含证书前置准备、UI操作步骤、常见导入失败原因、回滚手段以及生产运维注意事项。
有VMware全系列产品官方资源和定制版资源需求的可以移步：
VAMI证书：专门用于https://vcsa:5480设备管理页面，独立于vCenter主UI证书，在5480界面内部即可完成替换，不需要运行certificate-manager命令。
vCenter Machine‑SSL证书：用于443端口vSphere客户端、API、各组件内部通信，需要使用certificate-manager工具替换，不要和VAMI证书混淆。
替换VAMI证书不会影响vCenter核心业务服务，仅改变5480管理页面HTTPS证书。
证书1：服务器证书（crt/pem），包含CN与SAN，必须包含VCSA的FQDN以及访问IP地址，浏览器TLS校验强制读取SAN字段。
证书2：完整证书链文件（中间CA+根CA），PEM格式，顺序：中间证书在前，根证书在后。
私钥文件：PEM格式私钥，不支持密码加密私钥，如果私钥带密码，导入会直接报错。
全部文件必须以-----BEGIN CERTIFICATE-----、-----BEGIN PRIVATE KEY-----开头结尾，不能存在多余空行、空格、中文符号。
建议操作前对VCSA打快照，作为回滚兜底方案。确认VCSA NTP时间同步正常，时间错误会直接导致证书判定无效。
重要提醒：不要上传pfx格式，VAMI导入界面只接受PEM(Base64)；带密码的加密私钥需要提前解密，否则上传直接失败。
浏览器访问VAMI管理页面：https://VCSA‑IP_or_FQDN:5480，使用root账号登录。
导航菜单选择【设置】→【证书】标签页。
点击【导入】按钮，打开自定义证书上传弹窗。
依次选择：服务器证书、CA证书链文件、解密后的私钥文件。
确认勾选确认选项，点击完成提交。
证书生效：VAMI页面服务会短暂重启，页面自动刷新；如果浏览器不自动跳转，关闭标签页重新打开5480页面。
私钥解密示例（如果私钥带密码，openssl解密去除密码）
# 将加密私钥转换为无密码PEM私钥 openssl rsa -in encrypted.key -out nopassword.key
当页面上传报错，可以登录VCSA的shell，直接替换VAMI相关证书文件，重启vami服务。
# 将证书、链、私钥上传到/tmp目录 # 备份原有证书 cp /opt/vmware/etc/lighttpd/server.pem /opt/vmware/etc/lighttpd/server.pem.bak # lighttpd需要证书+私钥合并到同一个pem文件，证书在前，私钥在后 cat server.crt nopassword.key > /tmp/server.pem cp /tmp/server.pem /opt/vmware/etc/lighttpd/server.pem # 重启VAMI lighttpd服务 service-control --restart vmware-vami-lighttpd
| 故障现象 | 根因 | 处理方案 |
|---|---|---|
| 上传证书直接提示无效证书 | 文件不是PEM格式、存在多余空行字符、证书链不全 | 重新整理PEM文件，用openssl verify校验证书链完整性 |
| 私钥校验失败 | 私钥被密码加密；私钥和公钥证书不匹配 | openssl rsa解密私钥；核对证书与私钥的modulus一致 |
| 导入成功，浏览器依旧报证书不安全 | 客户端没有导入企业CA根证书；证书SAN缺少访问IP/FQDN | 客户端安装根CA；重新签发证书补充SAN字段 |
| 导入之后5480页面打不开，连接拒绝 | 合并pem文件顺序错误，lighttpd无法加载证书 | 恢复备份server.pem，重新按【证书在前，私钥在后】合并文件 |
| 证书导入成功，隔段时间变回默认自签名 | 执行了certificate-manager重置全部证书，会覆盖VAMI证书 | 重新导入VAMI证书，区分Machine‑SSL与VAMI两套证书 |
VAMI证书与vCenter 443端口Machine‑SSL是两套独立证书，更新vCenter证书不会自动同步更新5480 VAMI证书，需要单独维护更新。
证书签发务必同时填写DNS域名与IP地址到SAN扩展字段，不管是IP访问还是域名访问5480都不会报证书告警。
证书到期前提前更新，VAMI证书过期会导致root无法登录5480页面，只能SSH操作修复。
每次替换前做VCSA快照，出现异常可以快速回滚；也可以备份/opt/vmware/etc/lighttpd/server.pem原始文件。
企业内网所有运维终端需要导入CA根证书，否则浏览器依然提示不安全连接。
不要使用certificate-manager工具修改VAMI证书，该工具用于vCenter核心组件证书，会覆盖VAMI配置。
Q：替换VAMI证书，vCenter的443端口访问证书会跟着变吗？
A：不会。VAMI 5480使用lighttpd服务；443端口vCenter UI使用tomcat/vpxd，两套完全独立，需要分别处理。
Q：pfx证书能不能直接上传到VAMI导入界面？
A：不支持pfx，需要使用openssl把pfx导出PEM证书、证书链、解密私钥三份文件。
Q：导入自定义证书之后，升级VCSA版本会不会把证书还原回自签名？
A：正常版本升级会保留VAMI自定义证书；如果执行重置全部证书操作才会被覆盖，升级完成后建议打开5480确认证书状态。
Q：忘记提前更新，VAMI证书已经过期，5480页面无法登录怎么办？
A：通过SSH登录VCSA系统，使用上面CLI方式重新替换证书，重启vmware‑vami‑lighttpd服务恢复页面访问。
总结：VCSA8.0的VAMI(5480)HTTPS自定义证书，可以直接登录5480页面设置‑证书，导入PEM格式服务器证书、CA证书链、无密码私钥完成替换。VAMI证书独立于vCenter Machine‑SSL证书，二者互不自动同步；文件格式、私钥加密、SAN字段、证书链完整性是导入成功的关键点，操作前建议打快照做备份。
