Inhalt

Problem

Fehler beim Installieren des URT-Pakets (Upgrade Readiness Tool) ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz auf der Cisco Identity Services Engine (ISE) Version 3.4. Nach der fehlgeschlagenen Installation waren die nachfolgenden Versuche zur Deinstallation oder Neuinstallation des URT-Pakets erfolglos, und die ISE-Dienste konnten aufgrund einer permanenten Anwendungsprozesssperre (APP_INSTALL) nicht beendet werden. Die CLI gab Fehlermeldungen zurück, die darauf hindeuteten, dass eine weitere Anwendungsinstallation oder -aktualisierung durchgeführt wurde, wodurch die ISE-Datenbank effektiv gesperrt und weitere Verwaltungsvorgänge verhindert wurden.

Umwelt

- Produkt: Cisco Identity Services Engine (ISE)

- Version: 3.4.0

- Subtechnologie: ISE-Upgrade/Patch/Lizenzierung

- URT-Paket: ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz (Version 1.0.0, 52 Tage alt)

- Bereitstellung: Multi-Node ISE auf Azure VM (sekundärer Administrator, primärer Überwachungsknoten)

- CLI-Installation versucht über: Anwendungsinstallation ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz NETFTP

- Azure Cloud VM-Umgebungen unterstützen keine nativen ISE-Upgrade-Prozesse.

- Keine erfolgreichen Upgrades oder Installationen vor dem Versuch, das URT-Paket zu installieren

Auflösung

Dieser detaillierte Workflow beschreibt die erforderlichen Schritte zum Identifizieren und Beheben der Datenbanksperre, die aus einer fehlgeschlagenen URT-Paketinstallation in Cisco ISE 3.4 resultiert.

Schritt 1: Versuchen Sie, die Standardanwendung zu entfernen und den Dienst zu beenden.

Versuchen Sie zunächst, die URT-Anwendung zu entfernen und die Cisco ISE-Dienste mithilfe der Standard-CLI-Befehle zu beenden. Dieser Schritt bestätigt den Sperrzustand und generiert die für die Diagnose erforderlichen Fehlermeldungen.

Befehl zum Entfernen der URT-Anwendung:

application remove urt

Continue with application removal? (y/n) [n] ? y

% An existing application install, remove, or upgrade is in progress. Try again shortly.

Befehl zum Beenden von ISE-Services:

application stop ise

Waiting up to 20 seconds for lock: APP_INSTALL

APP_INSTALL to complete

Database is still locked by lock: APP_INSTALL

APP_INSTALL. Aborting. Please try it later

% Error: Another ISE DB process (APP_INSTALL APP_INSTALL) is in progress, cannot perform Application Stop at this time

Wenn Sie Meldungen erhalten, die darauf hinweisen, dass eine weitere Installation, Deinstallation oder Aktualisierung durchgeführt wird, fahren Sie mit den nächsten Schritten zur erweiterten Fehlerbehebung fort.

Schritt 2: Identifizieren der Datenbank-Sperrdatei

Greifen Sie über CLI auf den Knoten mit Root-Privilegien zu. Navigieren Sie zu dem temporären Verzeichnis, in dem Prozesssperren gespeichert sind.

Befehl zum Auflisten des Inhalts von /temp/directory:

ls /temp/

Suchen Sie nach einer Datei mit dem Namen ise_db_lock oder ähnlich. Diese Datei ist für die Aufrechterhaltung der Datenbanksperre und das Verhindern von Dienstvorgängen verantwortlich.

Schritt 3: Entfernen der veralteten Datenbank-Sperrdatei

Sobald die Sperrdatei identifiziert wurde, entfernen Sie sie, um den dauerhaften Sperrzustand zu löschen.

Befehl zum Entfernen der Sperrdatei:

rm /temp/ise_db_lock

Durch diese Aktion wird die Datenbank freigegeben, und weitere Verwaltungsvorgänge sind möglich.

Schritt 4: Beenden und Neustarten der ISE-Services

Fahren Sie nach dem Entfernen der Sperrdatei fort, stoppen Sie die Cisco ISE-Services, und starten Sie sie neu, um sicherzustellen, dass alle Prozesse zurückgesetzt werden und wie erwartet ausgeführt werden.

Befehl zum Beenden von Cisco ISE-Services:

application stop ise

Befehl zum Starten der Cisco ISE-Services:

application start ise

Vergewissern Sie sich, dass keine Fehlermeldungen im Zusammenhang mit APP_INSTALL angezeigt werden und dass die Dienste erfolgreich beendet und gestartet werden.

Schritt 5: Validierung des Betriebsstatus der ISE-Services

Überprüfen Sie den Betriebsstatus aller Cisco ISE-Prozesse, um sicherzustellen, dass sie normal ausgeführt werden und keine Sperren bestehen.

Befehl zum Überprüfen des aktuellen Status:

show application status ise

Beispiel:

ISE PROCESS NAME                       STATE            PROCESS ID

--------------------------------------------------------------------

Database Listener                      running          4056

Database Server                        running          132 PROCESSES

Application Server                     running          9481

Profiler Database                      running          9774

ISE Elasticsearch                      running          24973

AD Connector                           running          35580

M&T Session Database                   running          7838

M&T Log Processor                      running          38134

ISE Messaging Service                  running          10373

ISE API Gateway Database Service       running          10825

ISE API Gateway Service                running          23058

ISE pxGrid Direct Service              running          67962

ISE pxGrid Direct Pusher               running          68973

Segmentation Policy Service            running          39231

REST Auth Service                      running          42849

SSE Connector                          disabled

Hermes (pxGrid Cloud Agent)            disabled

MFA (Duo Sync Service)                 running          44767

McTrust (Meraki Sync Service)          disabled

aciconn (ACI Connection Service)       disabled

Workload Connector Service             disabled

ISE Prometheus Service                 running          62697

ISE Prometheus Exporter                running          59234

ISE Grafana Service                    running          32873

ISE MNT LogAnalytics Elasticsearch     disabled

ISE Logstash Service                   disabled

ISE Kibana Service                     disabled

ISE Native IPSec Service               running          10210

MFC Profiler                           running          46329

ISE Prometheus Alertmanager Service    running          48962

Protocols Engine                       running          60381

Alle wichtigen Cisco ISE-Services müssen als "Running" (Wird ausgeführt) gemeldet werden.

Schritt 6: Überprüfen der Knotensynchronisierung in der GUI

1. Melden Sie sich bei der grafischen Benutzeroberfläche (GUI) der Cisco ISE an.

2. Navigieren Sie zu: Administration > System > Deployment.

3. Stellen Sie sicher, dass der Knotensynchronisierungsstatus korrekt ist und dass alle Knoten in der Bereitstellung mit mehreren Knoten fehlerfrei sind. Dies bestätigt, dass der Sperrzustand keine Auswirkungen auf die Knotenkommunikation hat.

Ursache

Die Ursache des Problems war das Vorhandensein einer veralteten Datenbank-Sperrdatei (ise_db_lock) im /temp/Verzeichnis. Diese Sperrdatei wurde während der fehlgeschlagenen Installation des URT-Pakets erstellt und nicht automatisch entfernt. Die permanente Sperre verhinderte die Ausführung weiterer Anwendungsinstallations-, -entfernungs- oder -aktualisierungsvorgänge und blockierte die Möglichkeit, Cisco ISE-Dienste über CLI zu stoppen. ist nicht unterstützt, und Cisco empfiehlt eine erneute Bereitstellung für Upgrades in Cloud-Bereitstellungen.

Verwandte Inhalte

- Installieren von ISE in Azure Cloud