vCenter SSO里面admincorp.local属于corp.local本地SSO域管理员账户administratorvsphere.local是vSphere.local域内置解决方案用户。二者归属不同SSO域账户定位不一样一个用于管理员日常登录运维一个主要用于组件内部通信很多运维场景容易混淆导致登录失败、权限异常、任务执行报错。一、机房现场故障踩坑背景一套VCSA8.0环境运维人员习惯使用administratorvsphere.local登录vCenter Web Client修改该账户密码之后出现vCenter部分后台组件、备份任务报错服务之间认证失败。但是使用admincorp.local登录Web界面一切正常虚拟机、集群管理权限完整。1.1 初期无效排查操作重启vCenter全套服务重新分配全局管理员角色检查LDAP域配置修改防火墙策略组件内部认证报错依旧。1.2 分层定位真实故障根因administratorvsphere.local是vCenter内部组件之间调用的解决方案用户大量后台服务、任务、备份组件依赖该账户密码不建议拿来做日常人工登录而admincorp.local是corp.local域的管理员账号专门供运维人员登录Web界面做日常管理。人为随意修改解决方案用户密码没有同步更新各个组件配置就会出现内部通信鉴权失败。 现场验证修复恢复administratorvsphere.local原始密码使用admincorp.local作为日常登录管理员账户后台组件认证报错全部消失。二、两个账户底层原理与定位1、admincorp.local归属SSO本地域 corp.local属于人工管理员账户。部署VCSA的时候创建分配全局管理员角色专门给运维人员登录vSphere Client、VAMI做日常运维操作。可以正常修改密码密码变更仅影响人工登录不会破坏vCenter内部组件通信。corp.local域可以继续新建更多普通管理员、只读账户。2、administratorvsphere.local归属SSO内置域 vsphere.local属于解决方案用户Solution User。主要用于vCenter内部各个组件之间API调用、后台任务、STS、证书管理、备份工具内部认证不是设计给人日常登录使用。vSphere.local域不允许新建普通人员账户仅存放系统内部服务账号。3、权限异同两个账户默认都拥有vCenter全局管理员权限但是使用场景完全不同。admincorp.local面向人administratorvsphere.local面向系统组件。4、密码变更风险修改administratorvsphere.local密码需要同步更新vCenter内部多处组件配置否则大量后台任务会认证失败而admincorp.local直接在SSO修改密码即可无组件联动依赖。5、登录界面表现Web登录下拉列表可以同时看到两个域很多脚本、旧工具示例会写administratorvsphere.local属于历史遗留写法不代表适合人工日常使用。三、标准化排查判断标准与操作流程1、区分账户所属SSO域vCenter Web Client→菜单→单点登录→用户和组域选择corp.local可以看到admin账户域选择vsphere.local可看到administrator解决方案用户。2、日常运维账户选择人工登录vSphere Client、5480 VAMI优先使用 admincorp.local。修改密码直接在SSO用户界面更新无需额外操作。3、administratorvsphere.local尽量不手动改密码如果业务确实需要修改administratorvsphere.local密码必须使用VCSA内置的chpasswd‑solutionuser工具不能直接在SSO界面改密码避免组件不同步。4、脚本自动化场景编写PowerCLI、API脚本优先使用corp.local下自定义管理员账户尽量不要硬编码administratorvsphere.local降低密码变更带来故障风险。5、故障定位出现vCenter后台任务、备份、组件之间认证失败优先排查是否人为修改过administratorvsphere.local密码。四、高频故障排错清单故障现象根因分析标准解决方案Web界面登录正常但vCenter后台任务、备份、组件API调用鉴权失败直接在SSO界面修改administratorvsphere.local密码组件配置没有同步更新恢复原有密码修改解决方案用户密码使用专用工具日常尽量不改动该账号分不清两个账号脚本混用账号密码过期后自动化全部失效脚本硬编码administratorvsphere.local解决方案用户新建corp.local域下专用自动化管理员账号用于PowerCLI、API脚本调用vsphere.local域看不到新建用户入口无法新增管理员账号vsphere.local是解决方案域只存放系统内置服务账号不允许新建普通人员账号人员账号全部在corp.local域创建分配对应角色权限admincorp.local密码遗忘无法登录vCenter Web管理界面日常管理员账户密码丢失VCSA控制台使用sso‑password‑reset重置admincorp.local密码不触碰解决方案用户administratorvsphere.local被误删除vCenter大量后台功能异常解决方案用户被人为删除组件失去内部通信账号该账户不允许删除出现误删需要恢复VCSA备份无法简单重建五、运维高频误区避坑1.误区两个都是管理员账号随便用哪一个登录都完全一样纠正权限表面一致但定位不同。admincorp.local面向人administratorvsphere.local面向系统内部组件。2.误区日常拿administratorvsphere.local登录Web界面定期在SSO页面直接改密码纠正直接SSO界面修改解决方案用户密码不会同步内部组件配置会造成后台任务大面积认证报错。3.误区在vsphere.local域新建运维人员账号用于日常管理纠正vsphere.local不支持新建人员账号所有管理员、操作员账号全部建立在corp.local域。4.误区PowerCLI脚本、自动化API全部写死administratorvsphere.local纠正自动化脚本建议使用corp.local自定义账号隔离系统解决方案用户降低变更故障风险。5.误区两个账户密码必须保持一致纠正两个账户相互独立密码互不关联不需要保持相同。六、vCenter SSO账号标准化运维规范登录规范运维人员Web、VAMI日常登录统一使用 admincorp.localadministratorvsphere.local尽量不做人工登录使用。账号创建规范所有人员账号、自动化脚本账号全部在corp.local域创建vsphere.local域只保留系统内置解决方案用户禁止新增人员账号。密码变更规范修改admincorp.local密码直接SSO界面操作如需修改administratorvsphere.local使用VCSA专用解决方案用户密码修改工具禁止直接SSO界面修改。备份脚本规范备份、PowerCLI、API自动化脚本使用corp.local域账号不要硬编码vsphere.local解决方案用户。巡检规范定期巡检SSO用户确认administratorvsphere.local未被修改、禁用、删除该账号为系统关键账号禁止删除禁用。