vCenter SSO管理员密码管理全攻略：从常规更改到紧急重置
1. vCenter SSO管理员密码管理的重要性
在VMware虚拟化环境中，vCenter SSO管理员账户（administrator@vsphere.local）相当于整个平台的"万能钥匙"。这个账户不仅拥有最高权限，还负责管理所有其他账户的认证流程。我见过太多管理员因为忽视了这个账户的密码管理，导致系统锁定后手忙脚乱的案例。
想象一下，当你的vCenter突然无法登录，而虚拟机又急需维护时的场景。上周就遇到一个客户，因为三次输错密码导致账户锁定，整个运维团队急得像热锅上的蚂蚁。更糟的是，他们没有其他具备SSO管理员权限的备用账户，最后不得不走紧急重置流程。
2. 常规密码更改操作指南
2.1 通过Web界面修改密码
这是最推荐的方式，操作简单且安全。首先用现有密码登录vSphere Client，点击右上角的"菜单"按钮，选择"系统管理"。在左侧导航栏找到"Single Sign-On"下的"用户和组"，确保域选择为"vsphere.local"。
找到Administrator账户后右键点击"编辑"，你会看到一个修改密码的选项。这里有个实用技巧：修改密码前，先打开一个新的浏览器标签页保持登录状态，这样万一新密码出现问题，还能用旧会话恢复。
2.2 密码策略配置建议
很多管理员不知道，vCenter允许自定义密码策略。在"Single Sign-On"配置页面，可以设置密码复杂度、最长使用期限和锁定策略。我建议：
- 启用密码复杂度要求（至少8字符，含大小写和特殊字符）
- 设置90天有效期提醒
- 配置账户锁定策略（建议5次失败尝试后锁定30分钟）
曾经有个金融客户因为使用简单密码，导致被暴力破解。配置合适的密码策略后，这类风险显著降低。
3. 紧急密码重置全流程
3.1 准备工作与环境确认
当常规方法行不通时，我们需要使用vdcadmintool工具。首先确认你的vCenter部署模式：
- 嵌入式PSC：直接操作vCenter主机
- 外部PSC：需要登录Platform Services Controller主机
通过SSH以root身份登录目标主机后，执行以下命令启用Bash shell：
shell.set --enabled true shell3.2 使用vdcadmintool重置密码
进入/usr/lib/vmware-vmdir/bin目录，运行：
./vdcadmintool在菜单中选择"3. Reset account password"，系统会提示输入UPN（用户主体名称），这里必须完整输入"Administrator@vsphere.local"。注意大小写敏感，我遇到过因为漏掉"@"符号导致操作失败的案例。
成功后会生成一个随机密码，务必立即复制保存。这个密码看起来像乱码（如：'s7K!p9L$q2），建议先粘贴到文本编辑器再使用。
4. 账户解锁与故障排查
4.1 账户锁定解决方案
当看到"User account is locked"错误时，如果有其他管理员账户，可以：
- 用备用账户登录
- 导航到"Single Sign-On > 用户和组"
- 右键锁定账户选择"解锁"
如果没有备用账户，重置密码操作会自动解锁账户。这里有个坑要注意：在VxRail环境中，可能需要先重启vmdir服务才能生效。
4.2 常见错误处理
最常遇到的错误是"VmDirForceResetPassword failed (9106)"，这通常是因为：
- 没有先执行su命令获取完整root权限
- UPN格式不正确
- 在管理节点而非PSC节点执行命令
解决方法：
su - (输入root密码) /usr/lib/vmware-vmdir/bin/vdcadmintool5. root密码重置联动操作
5.1 重置root密码步骤
如果连root密码都忘记了，需要进入GRUB恢复模式：
- 重启vCenter主机
- 在启动界面按e进入编辑模式
- 找到以linux开头的行，末尾添加rw init=/bin/bash
- 按Ctrl+X启动到单用户模式
挂载文件系统后执行：
mount -o remount,rw / passwd (设置新密码) umount / reboot -f5.2 密码管理最佳实践
根据我的运维经验，建议：
- 将SSO管理员和root密码存入加密密码管理器
- 设置定期提醒更换密码
- 至少配置一个备用管理员账户
- 对密码变更操作进行日志记录
有个制造企业客户建立了密码轮换日历，每季度第一个周一更换关键密码，这种规范化的做法值得借鉴。