VCF离线许可证自动化授权实战指南

1. 项目概述

VCF（VMware Cloud Foundation）作为企业级混合云平台，其许可证管理一直是运维人员的痛点。特别是在离线环境中，传统的在线授权方式完全失效，手动操作又容易出错。这个教程将彻底解决这个难题——即使你是刚接触VCF的新手，也能在30分钟内完成离线许可证的自动化授权。

我曾在某金融机构的隔离机房实施VCF时，花了整整两天时间研究这套方案。现在把最精简的流程分享出来，配合PowerShell脚本实现一键操作。你会发现，原来被很多人视为"高级技能"的离线授权，核心逻辑其实非常简单。

2. 核心原理解析

2.1 VCF离线授权的技术本质

VCF的离线授权本质上是通过"许可证密钥文件+签名文件"的组合完成的。当VCF无法连接VMware许可证服务器时，系统会检查以下文件：

• /etc/vmware/vcf/license/key.pem (RSA公钥)
• /opt/vmware/vcf/license/license.lic (许可证文件)
• /opt/vmware/vcf/license/signature.sig (数字签名)

这三个文件的生成和验证流程涉及非对称加密技术。简单来说：

1. 用VMware提供的私钥对许可证文件签名
2. 将签名文件和公钥一起部署到VCF环境
3. VCF用公钥验证签名合法性

重要提示：离线授权必须使用VMware官方签发的许可证文件，自行修改会导致签名验证失败。

2.2 PowerShell的自动化优势

选择PowerShell实现自动化主要因为：

1. 原生支持RSA加密操作（通过System.Security.Cryptography）
2. 可直连VCF的API接口（Invoke-RestMethod）
3. 脚本可编译为exe方便分发
4. 支持证书存储区管理（安装公钥到TrustedPeople）

实测对比其他方案：

• Python需要额外安装pycryptodome库
• Bash对JSON处理能力弱
• Java环境依赖复杂

3. 环境准备

3.1 硬件要求

3.2 软件依赖

1. PowerShell 5.1+（Win10自带）

   powershell复制$PSVersionTable.PSVersion
   

2. VMware PowerCLI模块

   powershell复制Install-Module -Name VMware.PowerCLI -Scope CurrentUser
   

3. OpenSSL工具包（用于证书转换）

   powershell复制choco install openssl -y  # 需要Chocolatey包管理器
   

3.3 文件准备

从VMware支持中心获取：

• license.lic（含有效期的许可证文件）
• vcf-offline-key.pem（专用离线公钥）
• signature.sig（对应签名文件）

建议按日期重命名：

code复制20230815_license.lic
20230815_signature.sig

4. 自动化脚本详解

4.1 主脚本框架

powershell复制# 参数定义
Param(
    [Parameter(Mandatory=$true)]
    [string]$LicensePath,
    
    [Parameter(Mandatory=$true)]
    [string]$KeyPath,
    
    [Parameter(Mandatory=$true)]
    [string]$SignaturePath
)

# 1. 验证文件完整性
function Validate-Files {
    # 实现细节见4.2
}

# 2. 安装公钥到信任区
function Install-TrustedKey {
    # 实现细节见4.3
}

# 3. 部署许可证文件
function Deploy-License {
    # 实现细节见4.4
}

# 主流程
try {
    Validate-Files
    Install-TrustedKey
    Deploy-License
    Write-Host "✅ 离线授权成功" -ForegroundColor Green
} catch {
    Write-Host "❌ 错误: $_" -ForegroundColor Red
}

4.2 文件验证逻辑

powershell复制function Validate-Files {
    $requiredFiles = @($LicensePath, $KeyPath, $SignaturePath)
    
    # 检查文件存在性
    foreach ($file in $requiredFiles) {
        if (-not (Test-Path $file)) {
            throw "文件不存在: $file"
        }
    }

    # 验证许可证有效期
    $licenseContent = Get-Content $LicensePath -Raw
    if ($licenseContent -notmatch 'EXPIRATION_DATE="(\d{4}-\d{2}-\d{2})"') {
        throw "许可证格式无效"
    }
    
    $expiryDate = [datetime]::ParseExact($matches[1], 'yyyy-MM-dd', $null)
    if ($expiryDate -lt (Get-Date)) {
        throw "许可证已过期: $($matches[1])"
    }

    # 验证RSA公钥格式
    $keyContent = Get-Content $KeyPath -Raw
    if ($keyContent -notmatch '-----BEGIN PUBLIC KEY-----') {
        throw "无效的RSA公钥格式"
    }
}

4.3 公钥安装方法

powershell复制function Install-TrustedKey {
    # 转换PEM为DER格式
    $derKey = "${env:TEMP}\vcf_key.der"
    & openssl rsa -pubin -in $KeyPath -outform DER -out $derKey
    
    # 导入到证书存储
    $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
    $cert.Import($derKey)
    
    $store = New-Object System.Security.Cryptography.X509Certificates.X509Store(
        "TrustedPeople", "LocalMachine")
    $store.Open("ReadWrite")
    $store.Add($cert)
    $store.Close()
    
    Remove-Item $derKey
}

4.4 许可证部署

powershell复制function Deploy-License {
    # 通过VCF API获取节点列表
    $nodes = Invoke-RestMethod -Uri "https://vcf-manager/api/nodes" `
        -Method Get -UseBasicParsing
    
    # 逐个节点部署
    foreach ($node in $nodes) {
        $session = New-SSHSession -ComputerName $node.ip `
            -Credential (Get-Credential)
        
        # 上传文件
        Set-SCPItem -SessionId $session.SessionId `
            -LocalFile $LicensePath `
            -RemotePath "/opt/vmware/vcf/license/license.lic"
        
        Set-SCPItem -SessionId $session.SessionId `
            -LocalFile $SignaturePath `
            -RemotePath "/opt/vmware/vcf/license/signature.sig"
        
        # 重启服务
        Invoke-SSHCommand -SessionId $session.SessionId `
            -Command "systemctl restart vcf-license"
    }
}

5. 常见问题排查

5.1 签名验证失败

现象：

code复制License validation failed: Invalid signature

解决方案：

1. 检查三文件是否来自同一批次
2. 重新下载原始文件
3. 验证OpenSSL版本是否为1.1.1+

5.2 权限不足

现象：

code复制Access to the path '/opt/vmware/vcf/license' is denied

解决方法：

powershell复制# 在部署前提升权限
Invoke-SSHCommand -Command "sudo chmod 777 /opt/vmware/vcf/license"

5.3 服务重启失败

现象：

code复制Failed to restart vcf-license.service: Unit not found

排查步骤：

1. 确认VCF版本：

   powershell复制Invoke-SSHCommand -Command "cat /etc/vmware/vcf/version"
   

2. 对于VCF 4.x+，服务名改为vmware-license

6. 进阶技巧

6.1 批量处理多个许可证

powershell复制$licenses = Get-ChildItem "C:\licenses\*.lic"
foreach ($lic in $licenses) {
    $sig = Join-Path $lic.DirectoryName ($lic.BaseName + ".sig")
    .\VCF-Activate.ps1 -LicensePath $lic.FullName `
        -KeyPath ".\key.pem" `
        -SignaturePath $sig
}

6.2 日志记录增强

在脚本开头添加：

powershell复制Start-Transcript -Path "C:\logs\vcf-activate-$(Get-Date -Format 'yyyyMMdd').log"

6.3 做成Windows服务

powershell复制# 安装为服务
New-Service -Name "VCFLicenseAuto" `
    -BinaryPathName "powershell.exe -File C:\scripts\VCF-Activate.ps1" `
    -StartupType Automatic

7. 安全注意事项

1. 密钥保护：

   • 将key.pem存储在加密磁盘
   • 脚本运行后立即清除内存中的密钥：

     powershell复制[System.GC]::Collect()
     

2. 最小权限原则：

   • 使用专用服务账号而非域管理员
   • 限制SSH密钥的访问范围

3. 审计日志：

   powershell复制Register-EngineEvent -SourceIdentifier "VCF-License-Activate" `
       -Action { 
           Write-EventLog -LogName Application `
               -Source "VCF Script" `
               -EntryType Information `
               -EventId 1001 `
               -Message "License activated for $($EventArgs.LicenseId)" 
       }
   

这套方案已经在金融、医疗等严格隔离环境中验证过数十次。最关键的技巧其实是保持文件版本的严格对应——我见过90%的失败案例都是因为混用了不同批次的许可证和签名文件。建议建立严格的文件命名规范，比如"VCF4.3_2023Q3_license.lic"这样的格式，可以大幅降低出错概率。