Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Patch-Installation mit GUI

Patch-Installation mit CLI

Installation des Patches auf allen ISE-Knoten in der Bereitstellung

Zurücksetzen des Patches auf alle ISE-Knoten in der Bereitstellung

Rollback des Patches von der ISE-CLI

Überprüfung

Referenz für erfolgreiches Patch-Installationsprotokoll

Einleitung

In diesem Dokument werden Möglichkeiten zur Installation von ISE-Patches und häufig gestellten Fragen während der Installation beschrieben.

Voraussetzungen

Anforderungen

Grundkenntnisse der Identity Service Engine (ISE)

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Cisco Identity Service Engine 2.x

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.

Hintergrundinformationen

Cisco veröffentlicht ISE-Patches halbregelmäßig. Diese Patches enthalten Bugfixes und ggf. Sicherheitsfixes (z.B.  Heartbleed und  Poodle Sicherheitslücken, die mit SSL entdeckt wurden).

Um sicherzustellen, dass Bugfixes angewendet werden, Sicherheitslücken hinzugefügt werden und die Lösung nahtlos funktioniert.

Wenn Sie einen Patch auf einem ISE-Knoten installieren, wird der Knoten neu gestartet. Starten Sie die Dienste nach Abschluss der Installation neu. Warten Sie einige Minuten, bevor Sie sich erneut anmelden können.

Sie können die Patch-Installation während eines Wartungsfensters planen, um einen vorübergehenden Ausfall zu vermeiden.

Installieren Sie nur Patches, die für die in Ihrem Netzwerk bereitgestellte Cisco Version gelten. Cisco meldet alle Abweichungen in den Versionen sowie alle Fehler in der Patch-Datei.

Sie können keinen Patch installieren, der eine niedrigere Version als der aktuell bei Cisco installierte Patch aufweist. Ebenso ist es nicht möglich, die Änderungen eines Patches einer niedrigeren Version rückgängig zu machen, wenn auf Cisco eine höhere Version installiert ist.

Wenn Sie einen Patch vom  Primary Administration Node (PAN) die Teil einer verteilten Bereitstellung ist, installiert die Cisco ISE den Patch auf dem primären Knoten und anschließend auf allen sekundären Knoten in der Bereitstellung.

Wenn die Patch-Installation auf dem  PANsetzt die Cisco ISE die Patch-Installation auf den sekundären Knoten fort. Bei Ausfall des  PANwird die Installation nicht zu den sekundären Knoten durchgeführt.

Wenn die Installation jedoch auf einem der sekundären Knoten aus irgendeinem Grund fehlschlägt, wird sie mit dem nächsten sekundären Knoten in Ihrer Bereitstellung fortgesetzt.

Wenn Sie einen Patch vom  PAN Bei diesem Patch, der Teil einer Bereitstellung mit zwei Knoten ist, installiert Cisco den Patch auf dem primären und anschließend auf dem sekundären Knoten.

Wenn die Patch-Installation auf dem  PANwird die Patch-Installation auf dem sekundären Knoten fortgesetzt. Bei Ausfall des  PANwird die Installation nicht zum sekundären Knoten durchgeführt.

Sie müssen über die Administratorrolle "Super Admin" oder "System Admin" verfügen, um die Patches zu installieren oder zurückzusetzen. Sichern Sie die Konfiguration und das betriebliche Backup, bevor die Patch-Installation beginnt.

Patch-Installation mit GUI

Um die ISE-Patches von Cisco.com herunterzuladen, navigieren Sie zu  Downloads > Products > Security > Access Control and Policy > Identity Services Engine > Identity Services Engine Software, ( hier.)

Anmerkung: Cisco ISE-Patches sind normalerweise kumulativ, d. h. die Installation von Patch 11 umfasst alle Patches von Patch 1 bis Patch 10. Für die Patch-Installation ist ein Neustart des ISE-Servers erforderlich.

Anmerkung: Überprüfen Sie die MD5/SHA512-Prüfsumme nach dem Download der Patch-Datei.

Um den Patch auf der ISE anzuwenden, melden Sie sich bei der ISE an.  Primary Administration Node (PAN) und befolgen Sie die hier genannten Anweisungen.

Schritt 1: Navigieren Sie zu  Administration > System > Maintenance > Patch Management > Install.

Schritt 2. Klicken Sie auf  Browse und wählen Sie die Patch-Datei aus, die von Cisco.com heruntergeladen wurde.

Schritt 3: Klicken Sie  Install um den Patch zu installieren.

Patch-Installation mit CLI

Schritt 1: Konfigurieren Sie ein ISE-Repository, und platzieren Sie den erforderlichen ISE-Patch im Repository. Informationen zum Konfigurieren des ISE-Repositorys finden Sie unter How to Configure Repository on ISE

Schritt 2: Melden Sie sich mit SSH an der ISE-CLI an.

Schritt 3: Stellen Sie sicher, dass die ISE-CLI den Repository-Content auflisten kann.

ISE/admin# show repository FTP_repository

ise-patchbundle-10.2.0.7-Patch6-19021923.SPA.x86_64.tar.gz

ise-patchbundle-10.2.0.7-Patch9-19062923.SPA.x86_64.tar.gz

ise-patchbundle-10.1.0.0-Ptach3-19110111.SPA.x86_64.tar.gz

Schritt 4: Um Patch auf einem bestimmten ISE-Knoten über die CLI zu installieren, führen Sie den  patch install im EXEC-Modus.

Patch install

Melden Sie sich über SSH bei der CLI des ISE-Knotens an, und führen Sie die folgenden Befehle aus:

ISE/admin#patch install ise-patchbundle-10.1.0.0-Ptach3-19110111.SPA.x86_64.tar.gz FTP_repository

% Warning: Patch installs only on this node. Install with Primary Administration node GUI to install on all nodes in deployment. Continue? (yes/no) [yes] ? yes

Save the current ADE-OS run configuration? (yes/no) [yes] ? yes

Generating configuration...

Saved the ADE-OS run Configuration to startup successfully

Initiating Application Patch installation...

Getting bundle to local machine...

Unbundling Application Package...

Verifying Application Signature...

patch successfully installed

% This application Install or Upgrade requires reboot, rebooting now...

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:21 2020):

Trying to stop processes gracefully. Reload lasts approximately 3 mins

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:21 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:41 2020):

The system is going down for reboot NOW

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:41 2020):

The system is going down for reboot NOW

Installation des Patches auf allen ISE-Knoten in der Bereitstellung

Wenn Sie einen Patch vom  PAN die Teil einer verteilten Bereitstellung ist, installiert die Cisco ISE den Patch auf dem primären Knoten und anschließend auf allen sekundären Knoten in der Bereitstellung.

Wenn die Patch-Installation auf dem primären PAN erfolgreich ist, setzt die Cisco ISE die Patch-Installation auf den sekundären Knoten fort. Bei Ausfall des  PANwird die Installation nicht zu den sekundären Knoten durchgeführt.

Wenn die Installation jedoch auf einem der sekundären Knoten aus irgendeinem Grund fehlschlägt, wird sie mit dem nächsten sekundären Knoten in Ihrer Bereitstellung fortgesetzt.

Zurücksetzen des Patches auf alle ISE-Knoten in der Bereitstellung

Um einen Patch von den Cisco ISE-Knoten in einer Bereitstellung zurückzusetzen, müssen Sie zuerst die Änderung von der  PAN.

Wenn dies erfolgreich ist, wird der Patch von den sekundären Knoten zurückgesetzt. Wenn der Rollback-Prozess auf dem  PANwerden die Patches nicht von den sekundären Knoten zurückgesetzt.

Wenn der Patch-Rollback jedoch auf einem sekundären Knoten fehlschlägt, wird der Patch weiterhin vom nächsten sekundären Knoten in Ihrer Bereitstellung zurückgesetzt.

Während die Cisco ISE den Patch von den sekundären Knoten zurücksetzt, können Sie weitere Aufgaben über die  PAN GUI. Die sekundären Knoten werden nach dem Rollback neu gestartet.

Um ein Rollback der ISE-Patches durchzuführen, melden Sie sich an unter  ISE GUI und navigieren Sie zu  Administration > System > Maintenance > Patch Management > und wähle den gewünschten Patch aus. Klicken Sie anschließend auf  Rollback, wie dargestellt:

Rollback des Patches von der ISE-CLI

Schritt 1: SSH zum ISE-Knoten, aus dem Sie den Patch entfernen möchten.

Schritt 2: Überprüfen Sie die installierten Patches auf dem ISE-Knoten mithilfe des folgenden Befehls:   Show Version

ISE/admin# show version

Cisco Application Deployment Engine OS Release: 3.0

ADE-OS Build Version: 3.0.5.144

ADE-OS System Architecture: x86_64

Copyright (c) 2005-2019 by Cisco Systems, Inc.

All rights reserved.

Hostname: ISE

Version information of installed applications

---------------------------------------------

Cisco Identity Services Engine

---------------------------------------------

Version : 10.1.0.0

Build Date : Tue Feb 12 00:45:06 2019

Install Date : Mon Sep 30 12:17:29 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 1

Install Date : Tue Oct 01 01:30:12 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 3

Install Date : Tue Mar 24 05:35:19 2020

Schritt 3: Führen Sie den Befehl  patch remove <Anwendungsname> <Zu entfernende Patch-Datei>

Beispiel:-  patch remove ise 2

ISE/admin# patch remove ise 3

Continue with application patch uninstall? [y/n] y

% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment.

Patch successfully uninstalled

% This application Install or Upgrade requires reboot, rebooting now...

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:16:29 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Sun Mar 8  03:16:29 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):

The system is going down for reboot NOW

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):

The system is going down for reboot NOW

Anmerkung: ISE-Patches sind kumulativ und können nicht zurückgesetzt werden, solange eine neuere Version vorhanden ist. Für die neuere Version muss zuerst ein Rollback durchgeführt werden.

Um den vorherigen Patch zu deinstallieren, deinstallieren Sie zuerst den neuesten Patch und dann die vorherige Patch-Version.

ISE/admin#patch remove ise 1

Continue with application patch uninstall? [y/n] y

% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment.

Continue? (yes/no) [yes] ? yes

% Patch cannot be rolled back while a newer version exists, which needs to rolled back first.

Überprüfung

Um den Fortschritt der ISE-Patch-Installation anzuzeigen, navigieren Sie zu  Administration > System > Maintenance > Patch Management  > Show Node Status wie im Bild gezeigt:

Überprüfen Sie den Patch-Installationsstatus vom ISE-Knoten. Melden Sie sich beim gleichen ISE-Server an, und führen Sie den Befehl aus.  Show Version

ISE1/admin# show version

Cisco Application Deployment Engine OS Release: 3.0

ADE-OS Build Version: 3.0.5.144

ADE-OS System Architecture: x86_64

Copyright (c) 2005-2019 by Cisco Systems, Inc.

All rights reserved.

Hostname: ISE1

Version information of installed applications

---------------------------------------------

Cisco Identity Services Engine

---------------------------------------------

Version : 10.1.0.0

Build Date : Tue Feb 12 06:15:06 2019

Install Date : Thu Nov 21 16:39:02 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 1

Install Date : Thu Apr 02 11:00:08 2020

ISE1/admin#

Überprüfen Sie erfolgreiche und fehlgeschlagene Patch-Meldungen in ISE-Alarmen:

Referenz für erfolgreiches Patch-Installationsprotokoll

isea/admin# sh log system ade/ADE.log tail

2020-04-19T15:38:01.634794+05:30 isea ADEOSJAVAAPI[26999]: ADEAUDIT 2030, type=PATCH INSTALL, name=PATCH INSTALL STARTED, username=kopriadm, cause=Application patch install has been inititated, adminipaddress=10.65.80.116, interface=GUI,

detail=Patch Install initiated with bundle - ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz, repo - tmplocalpatchinstallrepo

2020-04-19T15:38:01.635194+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[796] [test]: Install initiated with bundle - ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz, repo - tmplocalpatchinsta

llrepo

2020-04-19T15:38:01.784100+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[913] [test]: Stage area - /storeddata/Install/.1587290881

2020-04-19T15:38:01.827925+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[918] [test]: Getting bundle to local machine

2020-04-19T15:38:01.829562+05:30 isea ADE-SERVICE[1158]: [26999]:[error] config:repository: rm_repos_cfg.c[552] [test]: server not found in url

2020-04-19T15:38:01.830656+05:30 isea ADE-SERVICE[1158]: [26999]:[info] transfer: cars_xfer.c[66] [test]: local copy in of ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz requested

2020-04-19T15:38:02.873630+05:30 isea ADE-SERVICE[1158]: [26999]:[info] transfer: cars_xfer_util.c[2293] [test]: Properties file /tmp/.cars_repodownload.props exists need to cleanup after a SIGNAL or download complete

2020-04-19T15:38:03.247065+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[954] [test]: Got bundle at - /storeddata/Install/.1587290881/ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:03.247424+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1002] [test]: Unbundling package ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:09.066295+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1064] [test]: Verifying signature for package ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:13.171615+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1073] [test]: Signed bundle /storeddata/Install/.1587290881/ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz confirme

d with release key

2020-04-19T15:38:18.816986+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1166] [test]: Unbundling done. Verifying input parameters...

2020-04-19T15:38:18.877267+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1195] [test]: Manifest file is at - /storeddata/Install/.1587290881/manifest.xml

2020-04-19T15:38:18.877604+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1234] [test]: Manifest file appname - ise

2020-04-19T15:38:18.878051+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1286] [test]: Patch bundle contains patch(3) for app version(10.1.0.0)

2020-04-19T15:38:18.878254+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install ci_util.c[305] [test]: Comparing installed app version:(10.1.0.0) and version of app the patch is meant for:(10.1.0.0)

2020-04-19T15:38:18.878517+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1321] [test]: Manifest file pkgtype - CARS

2020-04-19T15:38:18.878712+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1735] [test]: Verifying zip...

2020-04-19T15:38:27.006433+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1796] [test]: Executing patch install script patchinstall.sh from patch.zip

2020-04-19T15:38:27.209692+05:30 isea test: info:[patchinstall.sh] START PATCH INSTALL SCRIPT. PATCHDIR: /storeddata/Install/.1587290881 INSTALLDIRS:

2020-04-19T15:38:27.211274+05:30 isea test: info:[patchinstall.sh] NEW PATCH VER: 3 PRIOR PATCH VER: 0

2020-04-19T15:38:27.213166+05:30 isea test: info:[patchinstall.sh] IRF-RABBITMQ-RUNTIME and IRF-CORE-ENGINE-RUNTIME Remove Begin

2020-04-19T15:38:27.214840+05:30 isea test: info:[patchinstall.sh] Remove IRF-Rabbitmq container

2020-04-19T15:38:27.753502+05:30 isea test: info:[patchinstall.sh] IRF-Rabbitmq container id -

2020-04-19T15:38:27.755172+05:30 isea test: info:[patchinstall.sh] No IRF-Rabbitmq container exist to remove.\n

2020-04-19T15:38:27.756631+05:30 isea test: info:[patchinstall.sh] Remove IRF-Core-Engine container

2020-04-19T15:38:27.781127+05:30 isea test: info:[patchinstall.sh] IRF-Core-Engine container id -

2020-04-19T15:38:27.783028+05:30 isea test: info:[patchinstall.sh] No IRF-Core-Engine container exist to remove.\n

2020-04-19T15:38:27.784724+05:30 isea test: info:[patchinstall.sh] IRF-RABBITMQ-RUNTIME and IRF-CORE-ENGINE-RUNTIME Remove Completed

2020-04-19T15:38:33.077501+05:30 isea test: info:[application:operation:cpmcontrol.sh] In Stop Monit

2020-04-19T15:38:33.197734+05:30 isea test: Monit daemon with pid [12796] killed

2020-04-19T15:38:34.289656+05:30 isea test: info:[application:operation:cpmcontrol.sh] Done Stop Monit

2020-04-19T15:38:34.671998+05:30 isea ADEOSShell[28278]: ADEAUDIT 2062, type=USER, name=M&T Log Processor, username=system, cause=M&T Log Processor Stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Stopping M&T Log Processor

2020-04-19T15:38:43.621160+05:30 isea test: info:[application:operation:adprobe.sh] adprobe:Stopping wmi probe...

2020-04-19T15:38:43.657769+05:30 isea test: info:[application:operation:adprobe.sh] adprobe:wmi probe is disabled

2020-04-19T15:38:43.989085+05:30 isea test: info:[application:operation:syslogprobe.sh] syslogprobe:Stopping syslog probe...

2020-04-19T15:38:44.019674+05:30 isea test: info:[application:operation:syslogprobe.sh] syslogprobe:syslog probe is disabled

2020-04-19T15:38:44.367442+05:30 isea test: info:[application:operation:restprobe.sh] restprobe:Stopping rest probe...

2020-04-19T15:38:44.400103+05:30 isea test: info:[application:operation:restprobe.sh] restprobe:rest probe is disabled

2020-04-19T15:38:44.713844+05:30 isea test: info:[application:operation:agentprobe.sh] agentprobe:Stopping agent probe...

2020-04-19T15:38:44.753547+05:30 isea test: info:[application:operation:agentprobe.sh] agentprobe:agent probe is disabled

2020-04-19T15:38:46.166418+05:30 isea test: info:[application:operation:appservercontrol.sh] Stopping ISE Application Server...

2020-04-19T15:38:46.168374+05:30 isea ADEOSShell[29231]: ADEAUDIT 2062, type=USER, name=Application server status, username=system, cause=Application server stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Application server stopped

2020-04-19T15:41:37.224949+05:30 isea test: info:[patchinstall.sh] ISE 10.1.0.0 patch 3 installFileSystem() INVOKED

2020-04-19T15:41:37.245321+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/xde/xdeRuntime/packages/std/WorkflowsProject.xar

2020-04-19T15:41:37.251672+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/bin/ctl/radius_auth.ctl

2020-04-19T15:41:37.258874+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Audit/Internal-Administrator-Summary.xml

2020-04-19T15:41:37.265939+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Endpoints and Users/Posture-Assessment-by-Endpoint.xml

2020-04-19T15:41:37.273866+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Endpoints and Users/Posture-Assessment-by-Condition.xml

2020-04-19T15:41:37.280143+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/lib/mnt-collection.jar

2020-04-19T15:41:37.288008+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/lib/libJniCollector.so

2020-04-19T15:41:37.295128+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/apr/lib/libapr-1.a

2020-04-19T15:41:37.302031+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/apr/lib/libtcnative-1.a

2020-04-19T15:41:37.308615+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/webapps/ocsp-responder-webapp/WEB-INF/lib/import-export-2.6

.0-156.jar

Broadcast message from root@isea (Sun Apr 19 15:50:40 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@isea (Sun Apr 19 15:51:01 2020):

The system is going down for reboot NOW

Session terminated, killing shell... ...killed.