2. vCenter部署与初始化
vCenter Server 是 vSphere 环境的“大脑”，它把多台 ESXi 主机组织成可统一管理的集群，并提供权限、告警、模板、生命周期等集中能力。部署 vCenter 并不是“装完即用”，安装方式、SSO 域、证书策略和初始清单结构会直接影响后续的可维护性、可扩展性与安全性。本节围绕这四件事展开，并给出可直接参考的初始化操作路径。
一、安装方式选择：VCSA 是唯一推荐路径
当前 vSphere 版本中，Windows 版 vCenter 已被弃用，vCenter Server Appliance（VCSA）是唯一受支持的部署形态。VCSA 以 Photon OS 为底座，内置 PostgreSQL、STS、Lookup Service 等组件，通过 OVA/ISO 安装器以“两阶段”方式部署：阶段 1 在目标 ESXi 主机或 vCenter 上部署设备并配置网络；阶段 2 完成 SSO、NTP、CEIP 等初始化。
选择安装方式时，主要看规模与拓扑：
- 嵌入式部署（Embedded PSC）：Platform Services Controller 与 vCenter 服务在同一设备内，适合绝大多数中小规模环境，部署简单、组件少。
- 外部部署（External PSC）：PSC 独立于 vCenter，适合多站点、多 vCenter 共享 SSO 域的大型环境，但组件多、升级复杂，新版本已不推荐。
- 规模档位：Tiny（最多 10 台主机/100 台 VM）、Small（100/1000）、Medium（400/4000）、Large（1000/10000）、X-Large（2000/35000）。选档要留出 20%~30% 余量，避免后期扩容。
示例：一个 3 台 ESXi、约 60 台虚拟机的环境，选择 VCSA 8.0 + 嵌入式 PSC + Small 规模即可，CPU 4 vCPU、内存 16 GB、磁盘 300 GB（其中 /storage/seat 约 250 GB）。部署前需准备：目标 ESXi 的 root 凭据、VCSA 的 FQDN 与静态 IP、DNS 正反向记录、NTP 源、SSO 域管理员密码。
二、SSO 域配置：一次定名，长期受用
SSO（Single Sign-On）域是 vCenter 的身份根。默认域名为 vsphere.local，安装时由 administrator@vsphere.local 作为初始管理员。SSO 域一旦创建，域名不可更改，因此命名要慎重：建议使用与组织 DNS 域不同的专用名，如 corp.local 或 vsphere.local，避免与 AD 域混淆。
SSO 支持的身份源包括：
- SSO 本地身份：如 administrator@vsphere.local，用于应急与初始配置。
- Active Directory（集成 Windows 身份验证）：将 AD 域加入 SSO，用户以
user@ad.example.com登录。 - LDAP / OpenLDAP：适用于非 Windows 目录服务。
配置顺序建议：先以 administrator@vsphere.local 登录 vSphere Client，进入 系统管理 → 单点登录 → 配置 → 身份源，加入 AD 域并指定绑定用户；再在 用户和组 中为 AD 组授予全局权限。注意：AD 域加入需要提供可读目录的绑定账户，且 DNS 必须能解析 AD 域控。
/usr/lib/vmware-vmdir/bin/vdcadmintool 重置，操作有风险，务必谨慎。三、证书策略：默认 VMCA 与自定义 CA 的取舍
vCenter 与 ESXi 之间的通信依赖 TLS 证书。VCSA 内置 VMCA（VMware Certificate Authority），默认由它签发所有证书。三种常见策略：
- 全默认（VMCA 签发）：部署最快，适合实验或内部环境；浏览器会提示证书不受信任。
- 混合模式：vCenter 机器证书由企业 CA 签发，解决方案用户证书仍由 VMCA 签发，兼顾信任与简便。
- 全自定义（企业 CA）：所有证书由企业 CA 签发，适合有 PKI 规范的生产环境，但需按
certool流程逐项替换，维护成本高。
实操建议：生产环境至少采用混合模式。以企业 CA 为例，先在 VCSA 上生成 CSR：
/usr/lib/vmware-vmca/bin/certificate-manager
# 选择 1 替换机器 SSL 证书 → 生成 CSR
# 将 CSR 提交给企业 CA，取回签发的证书链
# 再选择 1 导入证书，按提示输入 root、machine、VMCA 证书路径替换完成后，用浏览器访问 https://vcsa.example.com 验证证书链是否受信任，并在 vSphere Client 的 系统管理 → 证书 → 证书管理 中确认状态为“有效”。
四、初始清单与数据中心对象创建
vCenter 初始化后，第一件事是建立清单骨架。vSphere 清单层级为：数据中心 → 集群 → 主机 → 虚拟机，集群下可再分资源池、文件夹。创建顺序建议：
- 新建数据中心，命名如
DC-Prod。 - 在数据中心下新建集群，如
Cluster-Prod，开启 DRS 与 HA（可先关闭，后续按需启用）。 - 将 ESXi 主机加入集群，输入主机 FQDN、root 凭据，接受证书指纹。
- 按业务或环境创建文件夹，如
Prod、Test，把 VM 归入对应文件夹。 - 创建资源池（可选），为不同业务分配 CPU/内存份额。
示例清单结构：
DC-Prod
├── Cluster-Prod
│ ├── esxi01.example.com
│ ├── esxi02.example.com
│ └── esxi03.example.com
├── Prod
│ ├── Web-VM01
│ └── DB-VM01
└── Test
└── Lab-VM01对象创建后，立即在 权限 标签为 AD 组授予角色，例如给 vsphere-admins@ad.example.com 授予“管理员”角色，给运维组授予“只读”角色。权限遵循“最小够用”原则，避免直接给个人账户授权。
五、初始化后的验证与常见判断
部署完成后，按以下顺序验证：
- DNS：
nslookup vcsa.example.com与反向解析都要正确，否则 SSO 与 AD 加入会失败。 - NTP：在 VCSA 的 时间 页面确认与 NTP 源同步，时间偏差超过 5 分钟会导致证书校验失败。
- SSO 登录：用 administrator@vsphere.local 登录 vSphere Client，确认能进入清单视图。
- 证书：浏览器地址栏无证书警告，证书管理 中机器证书状态为“有效”。
- 主机加入：将 ESXi 主机加入集群后，确认主机状态为“已连接”，无告警。
最后，建议在初始化完成后立即导出 VCSA 的配置备份（系统管理 → 备份），并记录 SSO 域、证书指纹、集群名称等关键信息。这些信息在后续排障、扩容或灾难恢复时都会用到。把安装方式、SSO、证书和清单四件事一次做对，vSphere 环境的长期稳定就有了基础。