تثبيت التصحيح على ISE

المقدمة

يوضح هذا المستند طرق تثبيت تصحيحات ISE والأسئلة المتداولة أثناء التثبيت.

المتطلبات الأساسية

المتطلبات

معرفة أساسية بمحرك خدمة الهوية (ISE).

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• Cisco Identity Service Engine، الإصدار 3.x

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تصدر Cisco مجموعات تصحيح ISE على أساس شبه منتظم. تحتوي هذه الترقيعات على إصلاح الأخطاء، وعند الضرورة، إصلاحات الأمان (على سبيل المثال، اكتشاف نقاط ضعف HeartBleed و Podle باستخدام SSL). وهذا يضمن تطبيق إصلاح الأخطاء، ونقاط الضعف الأمنية، ويعمل الحل بسلاسة.

عند تثبيت حزمة على عقدة ISE، تتم إعادة تمهيد العقدة. قم بإعادة تشغيل الخدمات بعد اكتمال التثبيت. انتظر عدة دقائق قبل أن تتمكن من تسجيل الدخول مرة أخرى.

يمكنك جدولة عمليات تثبيت التصحيح داخل نافذة الصيانة لتجنب انقطاع الخدمة مؤقتًا.

قم بتثبيت تصحيحات قابلة للتطبيق فقط على إصدار Cisco الذي تم نشره في شبكتك. تقوم Cisco بالإبلاغ عن أي حالة عدم تطابق في الإصدارات بالإضافة إلى أي أخطاء في ملف التصحيح.

لا يمكنك تثبيت حزمة من إصدار أقل من التصحيح المثبت حاليا على Cisco. وبالمثل، لا يمكنك التراجع عن تغييرات تصحيح إصدار أقل إذا كان إصدار أعلى مثبتًا حاليًا على Cisco.

عندما تقوم بتثبيت حزمة من عقدة الإدارة الأساسية (PAN) التي تعد جزءا من نشر موزع، يقوم Cisco ISE بتثبيت التصحيح على العقدة الأساسية ثم على جميع العقد الثانوية في النشر. إذا نجح تثبيت الحزمة على PAN، يقوم Cisco ISE بعد ذلك بمواصلة تثبيت الحزم على العقد الثانوية. في حالة فشل التثبيت على PAN، لا يتم متابعة التثبيت إلى العقد الثانوية. ومع ذلك، في حالة فشل التثبيت على أي من العقد الثانوية لأي سبب من الأسباب، فإنه يستمر مع العقدة الثانوية التالية في النشر.

عندما يركب أنت حزمة من ال PAN أن يكون جزء من نشر ثنائي العقدة، cisco يثبت التصحيح على العقدة الأساسية وبعد ذلك على العقدة الثانوية.

إذا نجح تثبيت التصحيح على PAN، تستمر Cisco بعد ذلك في تثبيت الحزم على العقدة الثانوية. في حالة فشله على PAN، لا ينتقل التثبيت إلى العقدة الثانوية.

يجب أن تتمتع بدور المسؤول الرئيسي أو مسؤول النظام لتثبيت مجموعات التصحيح أو التراجع عنها. تجميع النسخ الاحتياطي للتكوين والنسخ الاحتياطي أثناء التشغيل قبل بدء تثبيت التصحيح.

تثبيت برنامج تصحيح باستخدام واجهة المستخدم الرسومية

لتنزيل تصحيحات ISE من Cisco.com، انتقل إلى التنزيلات > المنتجات > الأمان > التحكم في الوصول والسياسة > محرك خدمات الهوية > برنامج محرك خدمات الهوية(هنا).

ملاحظة: تكون تصحيحات Cisco ISE عادة تراكمية، مما يعني أن تثبيت التصحيح 11 يتضمن جميع برامج التصحيح من التصحيح 1 إلى التصحيح 10. يتطلب تثبيت الإصلاح إعادة تمهيد خادم ISE.

ملاحظة: تحقق من المجموع الاختباري MD5/SHA512 بعد تنزيل ملف التصحيح.

من أجل تطبيق التصحيح على ISE، قم بتسجيل الدخول إلى واجهة المستخدم الرسومية (GUI) لعقدة الإدارة الأساسية ISE وقم بتنفيذ الإرشادات التالية: 

الخطوة 1. انتقل إلى الإدارة > النظام > الصيانة > إدارة الحزم > التثبيت.

الخطوة 2. انقر فوق إستعراض واختر ملف التصحيح الذي تم تنزيله من Cisco.com.

الخطوة الثالثة. انقر فوق تثبيت لتثبيت التصحيح.

تثبيت التصحيح باستخدام CLI

الخطوة 1. قم بتكوين مستودع ISE ووضع تصحيح ISE المطلوب في المستودع. لتكوين مستودع ISE، ارجع إلى كيفية تكوين مستودع على ISE

الخطوة 2. سجل الدخول إلى واجهة سطر أوامر ISE مع SSH.

الخطوة 3. تأكد من قدرة واجهة سطر أوامر ISE على إدراج محتوى المستودع.

ise1/admin# show repository FTP_repository

ise-patchbundle-3.3.0.430-Patch2-24041511.SPA.x86_64.tar.gz
ise-patchbundle-3.3.0.430-Patch3-24070910.SPA.x86_64.tar.gz
ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz

الخطوة 4. لتثبيت تصحيح على عقدة ISE معينة من واجهة سطر الأوامر، قم patch install بتشغيل الأمر في وضع EXEC.

patch install  

سجّل الدخول إلى واجهة سطر الأوامر (CLI) لعقدة ISE عبر بروتوكول SSH وشغّل الأوامر التالية:

ise1/admin# patch install ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz FTP_repository
% Warning: Patch will be installed only on this node. Install using Primary Administration node GUI to install on all nodes in deployment. Continue? (yes/no) [yes] ? yes
Initiating Application Patch installation...

Getting bundle to local machine...
Unbundling Application Package...
Verifying Application Signature...
Patch successfully installed

Broadcast message from root@ISE (pts/3) (Tue Dec 17 09:36:52 2024):

Trying to stop processes gracefully. Reload might take approximately 3 mins


% This application Install or Upgrade requires reboot, rebooting now...

Broadcast message from root@ISE (pts/3) (Tue Dec 17 09:37:21 2024):

The system is going down for reboot NOW

تثبيت التصحيح على جميع عقد ISE في النشر

عندما تقوم بتثبيت حزمة من PAN التي تعد جزءا من نشر موزع، يقوم Cisco ISE بتثبيت التصحيح على العقدة الأساسية ثم على جميع العقد الثانوية في النشر. إذا نجح تثبيت الحزمة على PAN الأساسية، فيواصل Cisco ISE تثبيت التصحيح على العقد الثانوية. في حالة فشله على وحدة التحكم في الشبكة (PAN)، لا يتم متابعة التثبيت إلى العقد الثانوية.

ومع ذلك، إذا فشل التثبيت على أي من العُقد الثانوية لأي سبب من الأسباب، فلا يزال مستمرًا مع العقدة الثانوية التالية في النشر الخاص بك.

قم بإرجاع التصحيح إلى جميع عقد ISE في النشر

للرجوع عن تصحيح من عُقد Cisco ISE في النشر، يجب عليك أولاً التراجع عن التغيير من عقدة الإدارة الأساسية (PAN). إذا نجح ذلك، فسيتم إرجاع التصحيح من العُقد الثانوية. إذا فشلت عملية التراجع على PAN، فلن يتم إستعادة التصحيحات من العقد الثانوية. ومع ذلك، إذا فشلت عملية التراجع عن التصحيح في أي عقدة ثانوية، فإنها تستمر في إسترجاع التصحيح من العقدة الثانوية التالية في عملية النشر.

بينما يقوم Cisco ISE بإرجاع التصحيح من العقد الثانوية، يمكنك متابعة تنفيذ مهام أخرى من واجهة المستخدم الرسومية (PAN). تتم إعادة تشغيل العقد الثانوية بعد التراجع.

لاستعادة تصحيحات ISE، قم بتسجيل الدخول إلى واجهة المستخدم الرسومية ISE وانتقل إلى الإدارة > النظام > الصيانة > إدارة الحزم وحدد التصحيح المطلوب وانقر فوق التراجع كما هو موضح:

إسترجاع التصحيح من واجهة سطر الأوامر (CLI) الخاصة ب ISE

الخطوة 1. بروتوكول النقل الآمن (SSH) إلى عقدة ISE حيث ترغب في إزالة التصحيح.

الخطوة 2. تحقق من التصحيحات المثبتة على عقدة ISE باستخدام الأمر show version:

ise1/admin# show version

Cisco Application Deployment Engine OS Release: 3.3
ADE-OS Build Version: 3.3.P.097
ADE-OS System Architecture: x86_64

Copyright (c) 2005-2023 by Cisco Systems, Inc.
All rights reserved.
Hostname: ise-aaa-dnac1


Version information of installed applications
---------------------------------------------

Cisco Identity Services Engine
---------------------------------------------
Version : 3.3.0.430
Build Date : Tue Jul 4 00:31:18 2023
Install Date : Sat Nov 9 22:42:47 2024

Cisco Identity Services Engine Patch
---------------------------------------------
Version : 1
Install Date : Tue Dec 17 09:57:23 2024

Cisco Identity Services Engine Patch
---------------------------------------------
Version : 4
Install Date : Tue Dec 17 11:49:53 2024

الخطوة 3. قم بتشغيل الأمر patch remove <application name> <patch file number to be remove>.

            على سبيل المثال، قم بإزالة تصحيح ISE 4:

ise1/admin# patch remove ise 4
Continue with application patch uninstall? [y/n] y
% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment.

Patch successfully uninstalled

% This application Install or Upgrade requires reboot, rebooting now...
Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:16:29 2020):
Trying to stop processes gracefully. Reload takes approximately 3 mins
Broadcast message from root@ISE (pts/1) (Sun Mar 8  03:16:29 2020):
Trying to stop processes gracefully. Reload takes approximately 3 mins
Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):
The system is going down for reboot NOW
Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):
The system is going down for reboot NOW

ملاحظة: تكون تصحيحات ISE تراكمية في طبيعتها ولا يمكن إستردادها مرة أخرى أثناء وجود إصدار أحدث. يتطلب الإصدار الأحدث الرجوع أولا.

  لإزالة تثبيت التصحيح السابق، قم بإزالة تثبيت أحدث حزمة أولا ثم إصدار التصحيح السابق.

ise1/admin#patch remove ise 1
Continue with application patch uninstall? [y/n] y
% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment. 
Continue? (yes/no) [yes] ? yes
% Patch cannot be rolled back while a newer version exists, which needs to rolled back first. 

التحقق من الصحة

لعرض تقدم تثبيت حزمة ISE، انتقل إلى إدارة > نظام > صيانة > إدارة الحزم > إظهار حالة العقدة كما هو موضح في الصورة:

تحقق من حالة تثبيت التصحيح من عقدة ISE. سجل إلى ال نفسه ISE نادل وشغل العرض صيغة أمر:

ise1/admin# show version

Cisco Application Deployment Engine OS Release: 3.3
ADE-OS Build Version: 3.3.P.097
ADE-OS System Architecture: x86_64

Copyright (c) 2005-2023 by Cisco Systems, Inc.
All rights reserved.
Hostname: ise-aaa-dnac1


Version information of installed applications
---------------------------------------------

Cisco Identity Services Engine
---------------------------------------------
Version : 3.3.0.430
Build Date : Tue Jul 4 00:31:18 2023
Install Date : Sat Nov 9 22:42:47 2024

Cisco Identity Services Engine Patch
---------------------------------------------
Version : 4
Install Date : Tue Dec 17 11:49:53 2024

التحقق من رسائل التصحيح الناجحة والفاشلة في أجهزة تنبيه ISE:

مرجع سجل تثبيت التصحيح الناجح

ise1/admin# sh logging system ade/ADE.log tail
2024-12-17T09:28:29.162564+00:00 ise1 CARSSetup[2783958]: ADEAUDIT 2030, type=PATCH INSTALL, name=PATCH INSTALL STARTED, username=system, cause=Application patch install has been inititated, adminipaddress=127.0.0.1, interface=CLI, detail=Patch Install initiated with bundle - ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz, repo - SFTP-REPO
2024-12-17T09:28:29.104724+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] user: cars_install.c[5641] [system]: Illegal characters or double dots not found in name ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz
2024-12-17T09:28:29.105444+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] user: cars_install.c[5641] [system]: Illegal characters or double dots not found in name SFTP-REPO
2024-12-17T09:28:29.162700+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[2568] [system]: Install initiated with bundle - ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz, repo - SFTP-REPO
2024-12-17T09:28:29.171681+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[2734] [system]: Stage area - /storeddata/Installing/.1734427709
2024-12-17T09:28:29.193007+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[2737] [system]: Getting bundle to local machine
2024-12-17T09:28:29.193704+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] transfer: cars_xfer.c[159] [system]: sftp copy in of ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz requested
2024-12-17T09:28:29.194062+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] transfer: cars_xfer_util.c[2643] [system]: Server validation successful x.x.x.x
2024-12-17T09:28:29.194784+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] transfer: sftp_handler.c[689] [system]: DEBUG: local user: admin UID: 0 sftp_run_parent FD: 9 remote host: x.x.x.x remote user: admin command: get /ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz /storeddata/Installing/.1734427709/ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz
2024-12-17T09:29:24.127455+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] transfer: cars_xfer_util.c[2666] [system]: Properties file /tmp/.cars_repodownload.props does not exist
2024-12-17T09:29:24.127573+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[2794] [system]: Got bundle at - /storeddata/Installing/.1734427709/ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz
2024-12-17T09:29:24.156171+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[2867] [system]: Unbundling package ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz
2024-12-17T09:29:41.327286+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[2969] [system]: Verifying signature for package ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz
2024-12-17T09:29:51.072928+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[2993] [system]: Signed bundle /storeddata/Installing/.1734427709/ise-patchbundle-3.3.0.430-Patch4-24102504.SPA.x86_64.tar.gz confirmed with release key
2024-12-17T09:30:09.180007+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[3172] [system]: Unbundling done. Verifying input parameters...
2024-12-17T09:30:09.180604+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[3214] [system]: Manifest file is at - /storeddata/Installing/.1734427709/manifest.xml
2024-12-17T09:30:09.180652+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[3283] [system]: Manifest file appname - ise
2024-12-17T09:30:09.180953+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[3388] [system]: Patch bundle contains patch(4) for app version(3.3.0.430)
2024-12-17T09:30:09.183179+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install ci_util.c[322] [system]: Comparing installed app version:(3.3.0.430) and version of app the patch is meant for:(3.3.0.430)
2024-12-17T09:30:09.183259+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[3443] [system]: Manifest file pkgtype - CARS
2024-12-17T09:30:09.183288+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[4152] [system]: Verifying zip...
2024-12-17T09:30:32.843082+00:00 ise1 root: info:[patchinstall.sh] Current Disable_RSA_PSS=0
2024-12-17T09:30:32.847037+00:00 ise1 root: info:[patchinstall.sh] STARTING PATCH INSTALL SCRIPT. PATCHDIR: /storeddata/Installing/.1734427709 INSTALLDIRS:
2024-12-17T09:30:32.850535+00:00 ise1 root: info:[patchinstall.sh] NEW PATCH VER: 4 PRIOR PATCH VER: 0
2024-12-17T09:30:32.708937+00:00 ise1 ADE-SERVICE[1379]: [2783958]:[info] application:install cars_install.c[4241] [system]: Executing patch install script patchinstall.sh from patch.zip
2024-12-17T09:30:35.742426+00:00 ise1 root: info:[application:operation:cpmcontrol.sh] In Stop Monit
2024-12-17T09:30:35.755071+00:00 ise1 root: Monit daemon with pid [21765] killed
2024-12-17T09:30:36.816209+00:00 ise1 root: info:[application:operation:cpmcontrol.sh] Done Stop Monit
2024-12-17T09:30:37.125419+00:00 ise1 ADEOSShell[2791127]: ADEAUDIT 2062, type=USER, name=M&T Log Processor, username=system, cause=M&T Log Processor Stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Stopping M&T Log Processor
2024-12-17T09:30:45.772624+00:00 ise1 root: info:[application:operation:adprobe.sh] adprobe:Stopping wmi probe...
2024-12-17T09:30:45.799438+00:00 ise1 root: info:[application:operation:adprobe.sh] adprobe:wmi probe is disabled
2024-12-17T09:30:45.871771+00:00 ise1 root: info:[application:operation:syslogprobe.sh] syslogprobe:Stopping syslog probe...
2024-12-17T09:30:45.898168+00:00 ise1 root: info:[application:operation:syslogprobe.sh] syslogprobe:syslog probe is disabled
2024-12-17T09:30:45.967252+00:00 ise1 root: info:[application:operation:restprobe.sh] restprobe:Stopping rest probe...
2024-12-17T09:30:45.994671+00:00 ise1 root: info:[application:operation:restprobe.sh] restprobe:rest probe is disabled
2024-12-17T09:30:46.074828+00:00 ise1 root: info:[application:operation:agentprobe.sh] agentprobe:Stopping agent probe...
2024-12-17T09:30:46.103781+00:00 ise1 root: info:[application:operation:agentprobe.sh] agentprobe:agent probe is disabled
2024-12-17T09:30:46.619128+00:00 ise1 root: info:[application:operation:appservercontrol.sh] Stopping ISE Application Server...
2024-12-17T09:30:46.621415+00:00 ise1 ADEOSShell[2791750]: ADEAUDIT 2062, type=USER, name=Application server status, username=system, cause=Application server stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Application server stopped

2024-12-17T09:33:00.041627+00:00 ise1 root: info:[patchinstall.sh] ISE 3.3.0.430 patch 4 installFileSystem() INVOKED
2024-12-17T09:33:00.074901+00:00 ise1 root: info:[patchinstall.sh] Updating patched file: /storeddata/Installing/.1734427709/filesystem/opt/sp-hub/libs/cxf-core-3.5.7.jar
2024-12-17T09:33:00.085182+00:00 ise1 root: info:[patchinstall.sh] Updating patched file: /storeddata/Installing/.1734427709/filesystem/opt/sp-hub/libs/cxf-rt-ws-policy-3.5.7.jar
2024-12-17T09:33:00.094910+00:00 ise1 root: info:[patchinstall.sh] Updating patched file: /storeddata/Installing/.1734427709/filesystem/opt/sp-hub/libs/cxf-rt-bindings-soap-3.5.7.jar
2024-12-17T09:33:00.107845+00:00 ise1 root: info:[patchinstall.sh] Updating patched file: /storeddata/Installing/.1734427709/filesystem/opt/sp-hub/libs/prrt-interface-3.3.0.904.6-x86_64.jar
2024-12-17T09:33:00.117375+00:00 ise1 root: info:[patchinstall.sh] Updating patched file: /storeddata/Installing/.1734427709/filesystem/opt/sp-hub/libs/cxf-rt-transports-http-3.5.7.jar

Broadcast message from root@ise1 (pts/3) (Tue Dec 17 09:36:52 2024):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ise1 (pts/3) (Tue Dec 17 09:37:21 2024):

The system is going down for reboot NOW

Session terminated, killing shell... ...killed.