vCenter SCIM数据库用户删除PowerShell脚本401未授权问题排查

问题背景 #

在家庭实验室中尝试自动化删除vCenter ID数据库中的SCIM用户，认证环节正常通过，但遍历执行删除操作时返回「远程服务器返回错误: (401) Unauthorized」提示。现有同类添加用户的PowerShell代码可正常运行，使用的是标准权限管理员账号。

可能的原因 #

• 重复认证覆盖会话令牌：代码中重复执行了两次认证流程，第二次认证会生成新的会话令牌，可能导致后续请求使用的令牌存在失效或不匹配问题。
• SCIM删除权限缺失：删除SCIM用户的API权限要求可能高于添加操作，当前标准管理员账号可能缺少对应的UserGroup.DeleteUser或SCIM管理权限。
• API端点路径错误：构造的删除用户URI缺少/rest前缀，请求到了错误的无权限端点。
• 请求头传递异常：会话令牌虽已设置，但可能在删除请求中存在头信息丢失或格式错误。

修复步骤 #

1. 移除重复认证代码：只保留一次Base64编码和认证请求，确保使用的是唯一有效的会话令牌。
2. 检查账号权限：通过vCenter控制台的权限管理模块，确认管理员账号拥有SCIM用户删除的相关权限。
3. 修正API URI路径：在删除用户的URI中添加/rest前缀，确保请求到正确的SCIM API端点。
4. 添加调试日志：在删除请求前输出请求头信息，确认会话令牌已正确传递；捕获API响应内容，便于排查具体权限问题。

修正后的PowerShell代码 #

$vcUsername = "VSPHERE.LOCAL\administrator"
$vcPassword = "orangejuice123"
$vCenterServer = "https://your-vcenter-fqdn" # 补充你的vCenter服务器地址

$Users = import-csv "C:\scripts\input.csv"

# 忽略SSL证书错误（生产环境谨慎使用）
if (-not ([System.Management.Automation.PSTypeName]'TrustAllCertsPolicy').Type) {
    Add-Type @"
        using System.Net;
        using System.Security.Cryptography.X509Certificates;
        public class TrustAllCertsPolicy : ICertificatePolicy {
            public bool CheckValidationResult(ServicePoint srvPoint, X509Certificate certificate, WebRequest request, int certificateProblem) {
                return true;
            }
        }
"@
    [System.Net.ServicePointManager]::CertificatePolicy = New-Object TrustAllCertsPolicy
}

# 仅执行一次认证获取会话令牌
$authString = "${vcUsername}:${vcPassword}"
$base64Auth = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($authString)).Trim()
$headers = @{
    "Authorization" = "Basic $base64Auth"
}

try {
    $sessionResponse = Invoke-RestMethod -Uri "$vCenterServer/rest/com/vmware/cis/session" `
                                         -Method Post `
                                         -Headers $headers                                         
    $sessionToken = $sessionResponse.value
    Write-Host "认证成功。会话令牌: $sessionToken" -ForegroundColor Green
} catch {
    Write-Error "认证失败。错误信息: $($_.Exception.Message)"
    return
}

# 设置API请求头
$apiHeaders = @{
    "vmware-api-session-id" = $sessionToken
}

ForEach ($user in $Users) {
    # 构造正确的删除用户URI（添加/rest前缀）
    $deleteUserUri = "$vCenterServer/rest/usergroup/t/CUSTOMER/scim/v2/Users/$($user.Username)"

    Write-Host "正在处理: $deleteUserUri"
    # 调试：输出请求头确认令牌
    Write-Host "当前请求头: $($apiHeaders | ConvertTo-Json)"
    
    try {
        # 发送删除请求
        Invoke-RestMethod -Uri $deleteUserUri -Method Delete -Headers $apiHeaders
        Write-Host "成功删除用户: $($user.userName)" -ForegroundColor Green
    } catch {
        Write-Error "删除用户失败: $($user.userName)。错误信息: $($_.Exception.Message)"
        # 捕获API详细响应内容
        if ($_.Exception.Response) {
            $reader = New-Object System.IO.StreamReader($_.Exception.Response.GetResponseStream())
            $responseBody = $reader.ReadToEnd()
            Write-Error "API响应详情: $responseBody"
        }
    }
}

# 注销会话
try {
    Invoke-RestMethod -Uri "$vCenterServer/rest/com/vmware/cis/session" `
                      -Method Delete `
                      -Headers $apiHeaders
    Write-Host "会话已成功结束。"
} catch {
    Write-Error "结束会话失败。错误信息: $($_.Exception.Message)"
} 

内容的提问来源于stack exchange，提问作者Kenny