Problème
Échec des tentatives d'installation de l'offre groupée d'outils de préparation à la mise à niveau (URT) ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz sur Cisco Identity Services Engine (ISE) version 3.4. Après l'échec de l'installation, les tentatives suivantes de désinstallation ou de réinstallation de l'ensemble URT ont échoué et les services ISE n'ont pas pu être arrêtés en raison d'un verrouillage persistant du processus d'application (APP_INSTALL). L'interface de ligne de commande a renvoyé des messages d'erreur indiquant qu'une autre installation ou mise à niveau d'application était en cours, verrouillant ainsi la base de données ISE et empêchant d'autres opérations de gestion.
Environnement
- Produit : Cisco Identity Services Engine (ISE)
- Version : 3.4.0
- Sous-technologie : Mise à niveau/correctif/licence ISE
- Offre groupée URT : ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz (version 1.0.0, 52 jours)
- Déploiement: ISE multinoeud sur la machine virtuelle Azure (administrateur secondaire, noeud de surveillance principal)
- Tentative d'installation CLI via :
application install ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz NETFTP
- Les environnements VM cloud Azure ne prennent pas en charge les processus de mise à niveau ISE natifs
- Aucune mise à niveau ou installation récente réussie avant la tentative d'offre groupée URT
Résolution
Ce workflow détaillé décrit les étapes requises pour identifier et résoudre le blocage de base de données résultant d'une installation d'un bundle URT ayant échoué dans Cisco ISE 3.4.
Étape 1 : Essayez la suppression standard des applications et arrêtez le service
Commencez par tenter de supprimer l'application URT et arrêtez les services Cisco ISE à l'aide des commandes CLI standard. Cette étape confirme l'état de verrouillage et génère les messages d'erreur nécessaires au diagnostic.
Commande pour supprimer l'application URT :
application remove urt
Continue with application removal? (y/n) [n] ? y
% An existing application install, remove, or upgrade is in progress. Try again shortly.
Commande pour arrêter les services ISE :
application stop ise
Waiting up to 20 seconds for lock: APP_INSTALL
APP_INSTALL to complete
Database is still locked by lock: APP_INSTALL
APP_INSTALL. Aborting. Please try it later
% Error: Another ISE DB process (APP_INSTALL APP_INSTALL) is in progress, cannot perform Application Stop at this time
Si vous recevez des messages indiquant qu'une autre installation, suppression ou mise à niveau est en cours, passez aux étapes suivantes du dépannage avancé.
Étape 2 : Identifiez le fichier de verrouillage de la base de données
Accédez au noeud avec des privilèges de niveau racine via l'interface de ligne de commande. Accédez au répertoire temporaire dans lequel les verrous de processus sont stockés.
Commande permettant de répertorier le contenu du répertoire /temp/ :
ls /temp/
Recherchez un fichier nommé ise_db_lock ou similaire. Ce fichier est chargé de maintenir le verrouillage de la base de données et d'empêcher les opérations de service.
Étape 3 : supprimez le fichier de verrouillage de base de données obsolète
Une fois le fichier de verrouillage identifié, supprimez-le pour supprimer la condition de verrouillage permanent.
Commande pour supprimer le fichier de verrouillage :
rm /temp/ise_db_lock
Cette action libère la base de données et permet d'autres opérations de gestion.
Étape 4 : Arrêtez et redémarrez les services ISE
Après avoir supprimé le fichier de verrouillage, arrêtez puis redémarrez les services Cisco ISE pour vous assurer que tous les processus sont réinitialisés et s'exécutent comme prévu.
Commande pour arrêter les services Cisco ISE :
application stop ise
Commande de démarrage des services Cisco ISE :
application start ise
Vérifiez qu'aucun message d'erreur lié à APP_INSTALL ne s'affiche et que les services s'arrêtent et démarrent correctement.
Étape 5 : Validez l'état d'exécution des services ISE
Vérifiez l'état opérationnel de tous les processus Cisco ISE pour vous assurer qu'ils fonctionnent normalement et qu'aucun verrou ne persiste.
Commande pour vérifier l'état en cours :
show application status ise
Exemple de rapport :
ISE PROCESS NAME STATE PROCESS ID
--------------------------------------------------------------------
Database Listener running 4056
Database Server running 132 PROCESSES
Application Server running 9481
Profiler Database running 9774
ISE Elasticsearch running 24973
AD Connector running 35580
M&T Session Database running 7838
M&T Log Processor running 38134
ISE Messaging Service running 10373
ISE API Gateway Database Service running 10825
ISE API Gateway Service running 23058
ISE pxGrid Direct Service running 67962
ISE pxGrid Direct Pusher running 68973
Segmentation Policy Service running 39231
REST Auth Service running 42849
SSE Connector disabled
Hermes (pxGrid Cloud Agent) disabled
MFA (Duo Sync Service) running 44767
McTrust (Meraki Sync Service) disabled
aciconn (ACI Connection Service) disabled
Workload Connector Service disabled
ISE Prometheus Service running 62697
ISE Prometheus Exporter running 59234
ISE Grafana Service running 32873
ISE MNT LogAnalytics Elasticsearch disabled
ISE Logstash Service disabled
ISE Kibana Service disabled
ISE Native IPSec Service running 10210
MFC Profiler running 46329
ISE Prometheus Alertmanager Service running 48962
Protocols Engine running 60381
Tous les principaux services Cisco ISE doivent indiquer « En cours d'exécution ».
Étape 6 : Validez la synchronisation des noeuds dans l'interface utilisateur graphique
- Connectez-vous à l'interface utilisateur graphique (GUI) de Cisco ISE.
- Accédez à : Administration > System > Deployment.
- Assurez-vous que l'état de synchronisation des noeuds est correct et que tous les noeuds du déploiement multinoeud sont sains. Cela confirme que la condition de verrouillage n'a pas eu d'impact sur les communications des noeuds.
Motif
La cause principale du problème était la présence d'un fichier de verrouillage de base de données périmé (ise_db_lock) dans le répertoire /temp/. Ce fichier de verrouillage a été créé lors de l'échec de l'installation de l'ensemble URT et n'a pas été supprimé automatiquement. Le verrouillage persistant a empêché l'exécution d'autres opérations d'installation, de suppression ou de mise à niveau d'applications et a bloqué la possibilité d'arrêter les services Cisco ISE via l'interface de ligne de commande. En outre, la tentative d'opérations de mise à niveau natives dans un environnement Azure VM n'est pas prise en charge et Cisco recommande le redéploiement pour les mises à niveau dans les déploiements cloud.
Autres informations utiles
Commentaires