重启ESXi主机内vCenter虚拟机后出现[400]SSO认证请求错误如何解决

报错信息：[400] An error occurred while sending an authentication request to the vCenter Single Sign-On server - An error occurred when processing the metadata during vCenter Single Sign-On setup - Failed to connect to VMware Lookup Service - https://10.20.30.50:443/lookupservice/sdk

故障核心原因 #

这类仅重启就触发的故障通常和主动操作无关，多为以下3种情况：

• Lookup Service服务未随系统启动成功
• STS签名证书到期，重启后证书校验触发故障
• hosts配置/反向解析异常，重启后网络映射失效

分步修复方案 #

步骤1：检查并重启Lookup Service服务 #

• 进入ESXi控制台打开vCenter虚拟机的远程终端，使用root账号登录
• 执行命令检查服务状态：service-control --status vmware-lookupsvc
• 若返回状态为stopped，执行手动启动命令：service-control --start vmware-lookupsvc
• 启动完成等待2分钟后重试vCenter登录，若仍报错进入下一步

步骤2：排查STS证书有效期 #

• 执行命令查看STS证书到期时间：
  /usr/lib/vmware-vmafd/bin/vecs-cli entry getcert --store STS --alias __MACHINE_CERT --text | grep -i "not after"
• 若返回的到期时间早于当前时间，说明STS证书过期，执行证书重置：
  1. 运行证书管理工具：/usr/lib/vmware-vmca/bin/certificate-manager
  2. 选择选项8（重置所有STS证书），按照提示输入SSO管理员密码完成修复
  3. 执行命令重启所有vCenter服务：service-control --stop --all && service-control --start --all

步骤3：排查网络映射配置 #

• 查看hosts文件配置：cat /etc/hosts，确认vCenter主机名与10.20.30.50的绑定记录正确，若记录错误手动修正后重启lookup服务
• 执行反向解析校验：nslookup 10.20.30.50，确认返回值为vCenter的正确域名，反向解析异常会导致SSO元数据校验失败

操作前请先为vCenter虚拟机创建快照，避免操作失误导致故障扩大

内容的提问来源于stack exchange，提问作者caesim