请问大佬们一个关于Vsan集群的问题！十分感谢！希望能解惑。

Ly423Yazhong

VSAN 集群的情况下，三台宿主机做一个集群。每个宿主机的证书现在都提示过期。点更新的话。会影响 HA 里面当下虚拟机运行吗？会有什么风险？
如果不更新证书有没有什么风险？

xookee

在 vSAN 集群中更新过期证书，在正常情况下，使用 vCenter 的“更新证书”功能不会影响正在运行的虚拟机，但整个过程存在一些已知的、需要警惕的风险点。

如果放任证书过期而不更新，风险会随着时间推移逐渐累积，最终可能导致集群管理功能的严重故障。

更新证书：影响与风险

“更新”或“续订证书”的操作本身是设计为不中断业务的，但在实践中需要注意以下几个方面：

对虚拟机影响：核心的“更新”或“续订证书”操作，通常不会导致虚拟机重启或中断业务。有资料提到，执行证书续订时，vCenter 与 ESXi 主机之间可能会出现短暂的连接中断，vCenter 清单中的虚拟机可能会短暂显示为“已断开”，但这不会影响主机功能和虚拟机的实际运行。操作完成后会自动恢复。
已知风险点：历史上，证书更新操作可能由于各种原因失败，导致某些 vCenter 服务无法加载新证书。与 vSAN 集群相关的关键服务包括：
    vSAN Health 服务 (vsan-health)：若此服务更新证书失败，vSAN 健康检查功能可能异常，但通常不影响核心存储功能。
    Profile-Driven Storage 服务 (sps)：此服务与存储策略相关，更新失败可能影响存储策略的合规性检查。
特殊情况：vSAN 加密与 KMS：如果你的集群启用了 vSAN 数据加密，并使用了 KMS（密钥管理服务器），情况会更复杂。如果 KMS 的证书也存在过期或不一致问题，在 vCenter 证书更新后，可能导致主机无法挂载磁盘组，尤其是在主机重启时，后果会比较严重。此外，KMS 证书信息不一致也会触发 vSAN 健康告警。

不更新证书：逐步升级的风险

虽然短期内虚拟机仍可运行，但不更新证书的风险是长期且递增的，主要体现在集群管理层面：

集群管理功能异常：最直接的风险是，vCenter 与 ESXi 主机之间将无法建立互信的加密连接。这会影响 vSAN 集群的配置变更，比如无法向集群添加新磁盘、无法创建新的磁盘组。严重时，可能导致集群脑裂（Partitioned），使部分对象或虚拟机无法访问。
vSAN 性能与健康监控失效：证书过期会导致 vSAN 健康检查服务无法正常工作，你将无法获得集群的健康状态报告。同时，vSAN 的性能监控数据（如单台虚拟机的虚拟磁盘性能）也可能无法加载。
依赖服务的连锁故障：一些依赖证书进行认证的服务会受到影响。例如，vSAN 快照服务（Snapshot Service Appliance） 可能因为存储了旧证书而无法与 vCenter 通信，导致备份或快照功能失败。

操作建议

首选通过 vCenter 图形界面操作：通常，在 vSphere Client 中，通过主机或 vCenter 的“证书”菜单进行“续订”是最常规的方式。操作前无需将主机置于维护模式。
操作后检查：更新完成后，建议登录 vCenter 检查告警，并进入 vSAN 的 Skyline Health 页面，确认所有健康检查项（特别是“集群配置一致性”等项）均为绿色。
特别留意加密集群：如果你的集群启用了 vSAN 加密，在更新证书前，务必先检查并确保 KMS 服务器的证书状态也是健康、可信的，避免引发磁盘挂载问题。

你的集群目前启用了 vSAN 加密功能（使用 KMS）吗？如果启用了，处理证书的步骤会更复杂一些，需要先确保 KMS 证书是正常的，否则更新 vCenter 证书后可能引发主机磁盘挂载失败的问题。如果没启用，这个操作相对简单很多。

cjy317

不影响，放心搞！如果怕的话，把其中一台宿主机的虚拟机迁移到另外两台宿主机上面，这样一台一台搞