1. vCenter SSO管理员密码管理的重要性

在VMware虚拟化环境中，vCenter SSO管理员账户（administrator@vsphere.local）相当于整个平台的"万能钥匙"。这个账户不仅拥有最高权限，还负责管理所有其他账户的认证流程。我见过太多管理员因为忽视了这个账户的密码管理，导致系统锁定后手忙脚乱的案例。

想象一下，当你的vCenter突然无法登录，而虚拟机又急需维护时的场景。上周就遇到一个客户，因为三次输错密码导致账户锁定，整个运维团队急得像热锅上的蚂蚁。更糟的是，他们没有其他具备SSO管理员权限的备用账户，最后不得不走紧急重置流程。

2. 常规密码更改操作指南

2.1 通过Web界面修改密码

这是最推荐的方式，操作简单且安全。首先用现有密码登录vSphere Client，点击右上角的"菜单"按钮，选择"系统管理"。在左侧导航栏找到"Single Sign-On"下的"用户和组"，确保域选择为"vsphere.local"。

找到Administrator账户后右键点击"编辑"，你会看到一个修改密码的选项。这里有个实用技巧：修改密码前，先打开一个新的浏览器标签页保持登录状态，这样万一新密码出现问题，还能用旧会话恢复。

2.2 密码策略配置建议

很多管理员不知道，vCenter允许自定义密码策略。在"Single Sign-On"配置页面，可以设置密码复杂度、最长使用期限和锁定策略。我建议：

• 启用密码复杂度要求（至少8字符，含大小写和特殊字符）
• 设置90天有效期提醒
• 配置账户锁定策略（建议5次失败尝试后锁定30分钟）

曾经有个金融客户因为使用简单密码，导致被暴力破解。配置合适的密码策略后，这类风险显著降低。

3. 紧急密码重置全流程

3.1 准备工作与环境确认

当常规方法行不通时，我们需要使用vdcadmintool工具。首先确认你的vCenter部署模式：

• 嵌入式PSC：直接操作vCenter主机
• 外部PSC：需要登录Platform Services Controller主机

通过SSH以root身份登录目标主机后，执行以下命令启用Bash shell：

shell.set --enabled true shell

3.2 使用vdcadmintool重置密码

进入/usr/lib/vmware-vmdir/bin目录，运行：

./vdcadmintool

在菜单中选择"3. Reset account password"，系统会提示输入UPN（用户主体名称），这里必须完整输入"Administrator@vsphere.local"。注意大小写敏感，我遇到过因为漏掉"@"符号导致操作失败的案例。

成功后会生成一个随机密码，务必立即复制保存。这个密码看起来像乱码（如：'s7K!p9L$q2），建议先粘贴到文本编辑器再使用。

4. 账户解锁与故障排查

4.1 账户锁定解决方案

当看到"User account is locked"错误时，如果有其他管理员账户，可以：

1. 用备用账户登录
2. 导航到"Single Sign-On > 用户和组"
3. 右键锁定账户选择"解锁"

如果没有备用账户，重置密码操作会自动解锁账户。这里有个坑要注意：在VxRail环境中，可能需要先重启vmdir服务才能生效。

4.2 常见错误处理

最常遇到的错误是"VmDirForceResetPassword failed (9106)"，这通常是因为：

1. 没有先执行su命令获取完整root权限
2. UPN格式不正确
3. 在管理节点而非PSC节点执行命令

解决方法：

su - (输入root密码) /usr/lib/vmware-vmdir/bin/vdcadmintool

5. root密码重置联动操作

5.1 重置root密码步骤

如果连root密码都忘记了，需要进入GRUB恢复模式：

1. 重启vCenter主机
2. 在启动界面按e进入编辑模式
3. 找到以linux开头的行，末尾添加rw init=/bin/bash
4. 按Ctrl+X启动到单用户模式

挂载文件系统后执行：

mount -o remount,rw / passwd (设置新密码) umount / reboot -f

5.2 密码管理最佳实践

根据我的运维经验，建议：

1. 将SSO管理员和root密码存入加密密码管理器
2. 设置定期提醒更换密码
3. 至少配置一个备用管理员账户
4. 对密码变更操作进行日志记录

有个制造企业客户建立了密码轮换日历，每季度第一个周一更换关键密码，这种规范化的做法值得借鉴。