Problema
Los intentos de instalar la herramienta de preparación para actualizaciones (URT) bundle ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz en Cisco Identity Services Engine (ISE) versión 3.4 han fallado. Después de la instalación fallida, los intentos subsiguientes de desinstalar o reinstalar el paquete URT no se realizaron correctamente y los servicios ISE no se pudieron detener debido a un bloqueo persistente del proceso de la aplicación (APP_INSTALL). La CLI devolvió mensajes de error que indicaban que había otra instalación o actualización de la aplicación en curso, lo que bloqueó de forma efectiva la base de datos de ISE y evitó que se siguieran realizando operaciones de administración.
Entorno
- Producto: Cisco Identity Services Engine (ISE)
- Versión: 3.4.0
- Subtecnología: Licencias/parches/actualizaciones de ISE
- Paquete URT: ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz (versión 1.0.0, 52 días de antigüedad)
- Implementación: ISE de varios nodos en Azure VM (administrador secundario, nodo de supervisión principal)
- Se intentó la instalación de CLI mediante:
application install ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz NETFTP
- Los entornos de VM en la nube de Azure no admiten procesos de actualización de ISE nativos
- No hay actualizaciones o instalaciones recientes correctas antes del intento de paquete URT
Resolución
Este flujo de trabajo detallado describe los pasos necesarios para identificar y resolver el bloqueo de la base de datos resultante de una instalación fallida del paquete URT en Cisco ISE 3.4.
Paso 1: Intento de eliminación de la aplicación estándar y detención del servicio
Comience intentando eliminar la aplicación URT y detenga los servicios de Cisco ISE mediante los comandos CLI estándar. Este paso confirma el estado de bloqueo y genera los mensajes de error necesarios para el diagnóstico.
Comando para eliminar la aplicación URT:
application remove urt
Continue with application removal? (y/n) [n] ? y
% An existing application install, remove, or upgrade is in progress. Try again shortly.
Comando para detener servicios ISE:
application stop ise
Waiting up to 20 seconds for lock: APP_INSTALL
APP_INSTALL to complete
Database is still locked by lock: APP_INSTALL
APP_INSTALL. Aborting. Please try it later
% Error: Another ISE DB process (APP_INSTALL APP_INSTALL) is in progress, cannot perform Application Stop at this time
Si recibe mensajes que indican que hay otra instalación, eliminación o actualización en curso, continúe con los siguientes pasos para la solución de problemas avanzada.
Paso 2: Identificar el Archivo de Bloqueo de Base de Datos
Acceda al nodo con privilegios de nivel raíz mediante CLI. Desplácese al directorio temporal donde se almacenan los bloqueos de proceso.
Comando para enumerar el contenido del directorio /temp/:
ls /temp/
Busque un archivo denominado ise_db_lock o similar. Este archivo es responsable de mantener el bloqueo de la base de datos y de evitar las operaciones de servicio.
Paso 3: Eliminar el Archivo de Bloqueo de Base de Datos Anticuado
Una vez identificado el archivo de bloqueo, elimínelo para borrar la condición de bloqueo persistente.
Comando para eliminar el archivo de bloqueo:
rm /temp/ise_db_lock
Esta acción libera la base de datos y permite más operaciones de gestión.
Paso 4: Detención y reinicio de los servicios de ISE
Después de eliminar el archivo de bloqueo, proceda a detener y reiniciar los servicios de Cisco ISE para asegurarse de que todos los procesos se restablezcan y se ejecuten según lo esperado.
Comando para detener servicios de Cisco ISE:
application stop ise
Comando para iniciar los servicios de Cisco ISE:
application start ise
Verifique que no se muestre ningún mensaje de error relacionado con APP_INSTALL y que los servicios se detengan e inicien correctamente.
Paso 5: Validar el estado de ejecución de los servicios ISE
Compruebe el estado operativo de todos los procesos de Cisco ISE para confirmar que se están ejecutando con normalidad y que no persisten los bloqueos.
Comando para verificar el estado de ejecución:
show application status ise
Ejemplo de salida:
ISE PROCESS NAME STATE PROCESS ID
--------------------------------------------------------------------
Database Listener running 4056
Database Server running 132 PROCESSES
Application Server running 9481
Profiler Database running 9774
ISE Elasticsearch running 24973
AD Connector running 35580
M&T Session Database running 7838
M&T Log Processor running 38134
ISE Messaging Service running 10373
ISE API Gateway Database Service running 10825
ISE API Gateway Service running 23058
ISE pxGrid Direct Service running 67962
ISE pxGrid Direct Pusher running 68973
Segmentation Policy Service running 39231
REST Auth Service running 42849
SSE Connector disabled
Hermes (pxGrid Cloud Agent) disabled
MFA (Duo Sync Service) running 44767
McTrust (Meraki Sync Service) disabled
aciconn (ACI Connection Service) disabled
Workload Connector Service disabled
ISE Prometheus Service running 62697
ISE Prometheus Exporter running 59234
ISE Grafana Service running 32873
ISE MNT LogAnalytics Elasticsearch disabled
ISE Logstash Service disabled
ISE Kibana Service disabled
ISE Native IPSec Service running 10210
MFC Profiler running 46329
ISE Prometheus Alertmanager Service running 48962
Protocols Engine running 60381
Todos los servicios principales de Cisco ISE deben aparecer como "En ejecución".
Paso 6: Validar la sincronización del nodo en la GUI
- Inicie sesión en la interfaz gráfica de usuario (GUI) de Cisco ISE.
- Vaya a: Administration > System > Deployment.
- Asegúrese de que el estado de sincronización del nodo sea correcto y de que todos los nodos de la implementación de varios nodos estén en buen estado. Esto confirma que la condición de bloqueo no ha afectado a las comunicaciones de los nodos.
Causa
La causa raíz del problema fue la presencia de un archivo de bloqueo de base de datos obsoleto (ise_db_lock) en el directorio /temp/. Este archivo de bloqueo se creó durante la instalación fallida del paquete URT y no se quitó automáticamente. El bloqueo persistente impidió la ejecución de más operaciones de instalación, eliminación o actualización de la aplicación y bloqueó la capacidad de detener los servicios de Cisco ISE a través de CLI. Además, no se admite el intento de operaciones de actualización nativas en un entorno de VM de Azure, y Cisco recomienda volver a implementar las actualizaciones en implementaciones de nube.
Contenido relacionado
Comentarios