Actualización de Identity Services Engine (ISE)

Introducción

Este documento describe cómo actualizar la versión 2.4. a la 2.6. actual de Identity Services Engine (ISE) configurada en el dispositivo Cisco ISE y la máquina virtual (VM). También incluye cómo utilizar la herramienta de preparación de actualizaciones (URT) para detectar y solucionar cualquier problema de actualización de datos de configuración antes de que comience el proceso de actualización.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Identity Services Engine (ISE)
• Comprensión de la terminología utilizada para describir diferentes tipos de implementaciones de ISE

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• ISE, versión 2.4
• ISE, versión 2.6

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Nota: El procedimiento es similar o idéntico para otras versiones de ISE. Estos pasos se pueden utilizar en todas las versiones de software 2.x ISE a menos que se indique lo contrario.

Antecedentes

Una actualización de la implementación de Cisco ISE es un proceso de varios pasos que se debe realizar en el orden especificado en este documento. Utilice las estimaciones de tiempo proporcionadas en este documento para planificar una actualización con un tiempo de inactividad mínimo. En el caso de una implementación con varios nodos de servicios de políticas (PSN) que forman parte de un grupo PSN, no hay tiempo de inactividad. Si hay terminales que se autentican a través de un PSN que se actualiza, otro PSN del grupo de nodos procesa la solicitud. El terminal se vuelve a autenticar y se le concede acceso a la red después de que la autenticación se realice correctamente.

Herramienta Upgrade Readiness

Utilice URT para detectar y solucionar cualquier problema de actualización de datos de configuración antes de iniciar el proceso de actualización. La mayoría de los errores de actualización ocurren debido a problemas de actualización de datos de configuración. El URT valida los datos antes de la actualización para identificar, informar o solucionar el problema, siempre que sea posible. El URT está disponible como un paquete descargable independiente que se puede ejecutar en un nodo de administración de políticas secundarias o un nodo independiente. No hay tiempo de inactividad para ejecutar esta herramienta.

Este enlace de vídeo explica cómo utilizar URT.

URT se ejecuta en el nodo de administración secundario o en un nodo independiente.

Precaución: La herramienta URT no simula las actualizaciones de datos operativos del nodo de supervisión (MnT).

Este es un ejemplo que muestra cómo ejecutar URT en un nodo independiente (se puede seguir el mismo proceso en un nodo de administración secundario).

Paso 1. Descargue el paquete URT.

Dado que el plan es actualizar a la versión 2.6, descargue el URT publicado en Cisco.com para ISE 2.6, como se muestra en la imagen.

URT para 2.6

Paso 2. Cree un repositorio y copie el paquete URT.

Se recomienda utilizar el protocolo de transferencia de archivos (FTP) para mejorar el rendimiento y la fiabilidad. No utilice repositorios ubicados en enlaces WAN lentos. Se recomienda utilizar un repositorio local que esté más cerca de los nodos.

Desde la GUI de ISE, navegue hasta Administration > System > Maintenance > Repository > Add como se muestra en la imagen. 

Repositorio

Opcionalmente, para ahorrar tiempo, copie el paquete URT en el disco local del nodo Cisco ISE con el uso de este comando:

copy repository_url/path/ise-urtbundle-2.6.0.xxx-1.0.0.SPA.x86_64.tar.gz disk:/

(Add the host key if it does not exist) crypto host_key add host mySftpserver
copy sftp://aaa.bbb.ccc.ddd/ise-urtbundle-2.6.0.xxx-1.0.0.SPA.x86_64.tar.gz disk:/

Paso 3. Ejecute el paquete URT.

Ingrese el comando application install para instalar el URT:

application install ise-urtbundle-2.6.0.x.SPA.x86_64.tar.gz reponame

La advertencia habla de los servicios que se ejecutan en el nodo y si el usuario desea continuar ejecutando el URT en este nodo. Escriba Y para continuar como se muestra en la imagen.

Notan que a veces la edad URT es vieja. Si el paquete es el último que se ha descargado del sitio web de Cisco, puede continuar. Los últimos paquetes URT también pueden tener más de 45 días de antigüedad. Escriba Y para continuar.

Caso 1.  La ejecución URT se ha realizado correctamente

1. Si el URT se ejecuta correctamente, el resultado es el siguiente:

2. El URT proporciona un tiempo estimado para que cada uno de los nodos actualice en función del tamaño de la configuración y los datos de MNT.

3. Después de haber completado correctamente la ejecución URT, continúe con la actualización.

4. La URT:

• Comprueba si el URT se ejecuta en una versión compatible de Cisco ISE. Las versiones compatibles son las versiones 2.1, 2.2, 2.3 y 2.4 (actualización a la versión 2.6).
• Verifica que el URT se ejecute en un nodo Cisco ISE independiente o en un nodo de administración de políticas secundario (PAN secundario).
• Comprueba si el paquete URT tiene menos de 45 días de antigüedad. Esta comprobación se realiza para asegurarse de que utiliza el paquete URT más reciente.

Comprueba si se cumplen todos los requisitos previos.

Estos son los requisitos previos que comprueba el URT:

• Compatibilidad de versiones
• Cheques personales
• Espacio en disco

Nota: Verifique el tamaño de disco disponible con Disk Requirement Size. Si necesita aumentar el tamaño del disco, reinstale ISE y restaure una copia de seguridad de la configuración.

• servidor NTP
• Memoria
• Validación de certificados del sistema y de confianza

5. Clona la base de datos de configuración.

6. Copia los últimos archivos de actualización al paquete de actualización.

Nota: Si no hay parches en el paquete URT, el resultado devuelve:N/A.This se espera un comportamiento al instalar un parche en caliente.

7. Realiza una actualización de esquemas y datos en la base de datos clonada.

• Si la actualización de la base de datos clonada se realiza correctamente, proporciona una estimación del tiempo que tarda en finalizar la actualización.

• Si la actualización se realiza correctamente, quita la base de datos clonada.

• Si la actualización de la base de datos clonada falla, recopila los registros necesarios, solicita una contraseña de cifrado, genera un paquete de registro y lo almacena en el disco local.

Caso 2. La ejecución URT no se ha realizado correctamente

1. El URT puede fallar debido a una razón que puede causar problemas con la actualización. Si esto sucede, URT devuelve la causa del error.

2. Aquí hay un ejemplo de ejecución de falla URT:

3. La URT falló con la razón: El certificado de confianza con el nombre descriptivo 'VeriSign Class 3 Secure Server CA - G3' no es válido: El certificado ha caducado.

4. Como se explicó en las comprobaciones previas de la actualización, si el sistema ISE tiene algún certificado caducado, la actualización falla. Es obligatorio renovar o sustituir todos los certificados caducados.

5. URT guarda los registros de fallos que se pueden compartir con Cisco TAC si el usuario no está seguro del motivo del fallo.

6. Se le solicita que introduzca una contraseña para cifrar los registros. Estos registros URT se guardan en el disco local.

7. Copie el archivo desde el disco local a un repositorio y compártalo con Cisco TAC para su resolución.

Actualización de ISE

Antes de que comience la actualización, asegúrese de que se completan estas tareas:

1. Obtener una copia de seguridad de la configuración de ISE y los datos operativos.

*Cuando Cisco ISE se ejecuta en VMware, no se admiten instantáneas de VMware para realizar copias de seguridad de datos de ISE.

2. Obtenga una copia de seguridad de los registros del sistema.

3. Desactive las copias de seguridad programadas. Vuelva a configurar las programaciones de copia de seguridad una vez completada la actualización de implementación.

4. Exporte los certificados y las claves privadas.

5. Configure un repositorio. Descargue el paquete de actualización y colóquelo en el repositorio.

6. Anote las credenciales de unión de Active Directory (AD) y el secreto de nodo RSA SecurID, si procede. Esta información es necesaria para conectarse a Active Directory o al servidor RSA SecurID después de la actualización.

7. Purgue los datos operativos para mejorar el rendimiento de la actualización.

8. Asegúrese de que la conexión a Internet del repositorio es correcta.

Nota: La descarga del paquete de actualización de un repositorio a un nodo agota el tiempo de espera si tarda más de 35 minutos en completarse.

Preparación para la actualización:

Actualización de ISE desde la GUI

En caso de que se vea este mensaje de advertencia: "El nodo ha vuelto a su estado anterior a la actualización", desplácese a la ventana Upgrade, haga clic en el enlace Details. Solucione los problemas enumerados en la ventana Detalles del fallo de actualización. Una vez solucionados todos estos problemas, haga clic en Upgrade para reiniciar la actualización.

Paso 1. Haga clic en la pestaña Upgrade en el portal de administración.

Paso 2. Haga clic en Proceed.

Paso 3. Marque la casilla 'He revisado la lista de comprobación' y haga clic en Continuar.

Paso 4. Descargue el paquete de actualización del repositorio a los nodos:

1. Active la casilla de verificación situada junto a los nodos en los que se descarga el paquete.

2. Haga clic en Descargar. Aparece la ventana Select Repository and Bundle como se muestra en la imagen.

3. Seleccione el repositorio.

4. Active la casilla de verificación situada junto al paquete que se utiliza para la actualización.

5. Haga clic en Confirmar. Una vez descargado el paquete en el nodo, el estado del nodo cambia a Preparado para actualización.

Paso 5. Haga clic en Continuar. A continuación, aparece la ventana Actualizar nodos. Haga clic en Upgrade para comenzar.

Actualización de ISE desde la CLI

Asegúrese de leer el capítulo titulado "Antes de comenzar" antes de continuar. A continuación se muestra un ejemplo de una actualización de nodo ISE independiente desde CLI.

Paso 1. Verifique si el repositorio que se va a utilizar tiene el archivo de actualización presente con el uso del comando show repository responame como se muestra en la imagen.

Paso 2. Desde la interfaz de línea de comandos (CLI) de Cisco ISE, introduzca el comando application upgrade prepare con el nombre del archivo de agrupamiento y el nombre del repositorio donde se almacena el archivo.

Nota: Si la actualización falla por alguna razón, antes de intentar una actualización de nuevo, utilice el comando application upgrade cleanup para borrar los archivos antiguos.

Problemas comunes

1. Si el paquete tarda demasiado en descargarse del repositorio o se agota el tiempo de espera cuando se descarga mediante la GUI:

• Asegúrese de que haya suficiente ancho de banda para gestionar la descarga del paquete.
• Cuando se descarga un paquete de actualización de un repositorio a un nodo, la descarga se agota si tarda más de 35 minutos en completarse. Asegúrese de que la conexión a Internet del repositorio es correcta. 

2. En una actualización de implementación distribuida, el error "Ningún nodo de administración secundario en la implementación" puede verse cuando:

• No hay ningún nodo de administración secundario en la implementación.

• El nodo de administración secundario está inactivo.

• El nodo de administración secundario se actualiza y se mueve a la implementación actualizada. Normalmente, esto ocurre si la opción Actualizar detalles de implementación se utiliza después de actualizar el nodo de administración secundario.

Para resolver este problema, realice una de estas tareas, según corresponda:

• Si la implementación no tiene un nodo de administración secundario, configure un nodo de administración secundario y vuelva a intentar la actualización.

• Si el nodo de administración secundario está inactivo, abra el nodo y vuelva a intentar la actualización.

• Si el nodo de administración secundario se actualiza y se mueve a la implementación actualizada, utilice la CLI para actualizar manualmente los demás nodos de la implementación.

3. El estado de actualización de un nodo no ha cambiado: 

• Si el estado de actualización no cambia durante mucho tiempo (y permanece en el 80%) en la GUI, verifique los registros de actualización de la CLI o el estado de la actualización desde la consola.
• Inicie sesión en la CLI o vea la consola del nodo de Cisco ISE para ver el progreso de la actualización. Utilice el comando show logging application para ver los archivos upgrade-uibackend-cliconsole.log y upgrade-postosupgrade-yyyymmdd-xxxxxx.log.
• Vea estos registros de actualización desde la CLI con el comando show logging application: DB Data Upgrade Log, DB Schema Log y Post OS Upgrade Log.

4. Vuelva a la versión anterior de la imagen ISO: