一键登录 更安全快捷
获取验证码
密码登录
验证码登录
登录
登录/注册
0
收藏
William Lam 2026年8月12日运维速报：VCF9.1内置VCF Automation(VCFA)组件在Minisforum MS-A2（AMD Zen4/Zen5消费级锐龙平台）会出现持续高CPU负载；根源为FIPS默认严格模式下OpenSSL3 TLS握手依赖硬件熵源，消费级CPU熵生成速率不足，导致五大JVM服务反复崩溃重启，形成崩溃循环拉高整机占用；文章提供一套完整禁用FIPS内核+容器环境变量临时修复脚本，仅适用于实验室迷你主机，企业数据中心AMD服务器CPU无需该方案，且官方不支持关闭FIPS生产环境使用。
有VMware全系列产品官方资源和定制版资源需求的可以移步：
VCF9.1默认开启FIPS=strict，AMD Zen4/Zen5消费级锐龙熵生成性能不足，TLS握手超时引发VCFA五大JVM服务循环崩溃，CPU满载；临时规避方案分两步：Photon OS内核关闭FIPS、kubectl修改5个核心容器环境变量为FIPS_MODE=disabled，重启设备后CPU回落至7~9GHz低负载；该修改仅实验室迷你主机适用，Broadcom官方不认可生产环境关闭FIPS，企业级AMD EPYC服务器无此性能缺陷无需操作。
Minisforum MS-A2搭载Zen4/Zen5消费级Ryzen，对比数据中心EPYC服务器硬件熵生成吞吐量更低；FIPS严格加密场景下数据库、服务间HTTPS TLS握手耗时大幅拉长，极易触发连接超时。
VCF9.1默认全局开启FIPS_MODE=strict；
TLS握手超时 → 5个JVM Spring服务启动失败、反复crash；
每次重启完整执行Spring上下文、Liquibase数据库迁移、索引重建，大量CPU运算；
崩溃循环持续运行，整机CPU长期满载；
关闭FIPS后握手耗时恢复正常，服务稳定常驻，负载骤降。
approval-service-app
catalog-service-app
ebs-app
ccs-infra-eas-app
provisioning-service-app
ssh vmware-system-user@VCFA_IP sudo -i
修改文件/boot/grub/grub.cfg，删除内核启动参数 fips=1，永久关闭Photon OS底层FIPS校验。
kubectl set env deployment/approval-service-app -n prelude FIPS_MODE=disabled kubectl set env deployment/catalog-service-app -n prelude FIPS_MODE=disabled kubectl set env deployment/ebs-app -n prelude FIPS_MODE=disabled kubectl set env deployment/ccs-infra-eas-app -n prelude FIPS_MODE=disabled kubectl set env deployment/provisioning-service-app -n prelude FIPS_MODE=disabled
执行系统重启命令，等待VCFA所有Pod重建加载新环境变量。
kubectl get deployment \
approval-service-app \
catalog-service-app \
ebs-app \
ccs-infra-eas-app \
provisioning-service-app \
-n prelude \
-o jsonpath='{range .items[*]}{"Deployment: "}{.metadata.name}{"\n"}{"FIPS_MODE: "}{.spec.template.spec.containers[*].env[?(@.name=="FIPS_MODE")].value}{"\n\n"}{end}'输出每一项FIPS_MODE值均为disabled即修改生效。
| 状态 | CPU负载表现 | 服务运行状态 | VKS部署可用性 |
|---|---|---|---|
| 修复前 FIPS strict开启 | CPU持续满载 | 五大JVM服务循环崩溃重启 | 创建VKS集群频繁超时失败 |
| 修复后 FIPS关闭 | 稳定7~9GHz低空闲负载 | 所有服务常驻无崩溃 | 可正常创建、管理vSphere Supervisor与VKS工作集群 |
个人/实验室环境使用Minisforum MS-A2等AMD Zen4/Zen5消费级迷你主机搭建简易VCF集群，Simple部署模式推荐至少2~3台MS-A2节点。
企业生产数据中心（Broadcom官方不支持关闭FIPS，存在合规、加密安全风险）；
搭载AMD EPYC服务器CPU设备，硬件熵吞吐量充足无此高负载bug，无需规避；
需要满足FIPS加密合规政企环境，禁止执行该修改。
该方案仅临时规避性能缺陷，非官方永久修复补丁，升级VCF新版本可能重置FIPS配置，需重新操作；
关闭FIPS会降低系统加密安全标准，仅隔离实验室测试环境使用；
Minisforum MS-A2无服务器级硬件加速，除VCFA外VNA虚拟网络设备部署也存在DPDK兼容坑；
执行操作前建议对VCFA设备做完整快照备份，防止配置变更引发服务异常。
Q1：生产业务集群可以关闭FIPS吗？ A：不可以，VM官方不支持该配置，存在安全合规风险，仅实验室临时测试使用。 Q2：AMD EPYC服务器CPU会出现该高CPU故障吗？ A：不会，服务器芯片内置高速熵生成硬件，FIPS严格模式无性能瓶颈。 Q3：重启VCFA后配置会丢失吗？ A：grub内核参数永久生效，kubectl修改deployment环境变量持久保存，仅升级VCF固件可能重置。 Q4：关闭FIPS后VKS功能会受损吗？ A：不会，vSphere Supervisor、VKS集群创建、运维功能全部正常可用。
VCF9.1默认FIPS严格模式在Minisforum MS-A2（AMD Zen4/Zen5消费锐龙）上因硬件熵生成不足，造成VCFA五大JVM服务循环崩溃、CPU持续满载；William Lam给出实验室专属临时修复流程，包含Photon OS grub内核关闭FIPS、kubectl批量修改容器环境变量两套操作，重启后CPU降至7~9GHz低负载，VKS集群可正常部署；该方案仅适用于个人实验室迷你主机，企业生产环境、AMD服务器CPU禁止使用，官方不认可关闭FIPS的生产部署方案，仅作为测试环境临时性能规避手段。
