Table des matières

Problème

Échec des tentatives d'installation de l'offre groupée d'outils de préparation à la mise à niveau (URT) ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz sur Cisco Identity Services Engine (ISE) version 3.4. Après l'échec de l'installation, les tentatives suivantes de désinstallation ou de réinstallation de l'ensemble URT ont échoué et les services ISE n'ont pas pu être arrêtés en raison d'un verrouillage persistant du processus d'application (APP_INSTALL). L'interface de ligne de commande a renvoyé des messages d'erreur indiquant qu'une autre installation ou mise à niveau d'application était en cours, verrouillant ainsi la base de données ISE et empêchant d'autres opérations de gestion.

Environnement

- Produit : Cisco Identity Services Engine (ISE)

- Version : 3.4.0

- Sous-technologie : Mise à niveau/correctif/licence ISE

- Offre groupée URT : ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz (version 1.0.0, 52 jours)

- Déploiement: ISE multinoeud sur la machine virtuelle Azure (administrateur secondaire, noeud de surveillance principal)

- Tentative d'installation CLI via : application install ise-urtbundle-3.4.0.608b-1.0.0.SPA.x86_64.tar.gz NETFTP

- Les environnements VM cloud Azure ne prennent pas en charge les processus de mise à niveau ISE natifs

- Aucune mise à niveau ou installation récente réussie avant la tentative d'offre groupée URT

Résolution

Ce workflow détaillé décrit les étapes requises pour identifier et résoudre le blocage de base de données résultant d'une installation d'un bundle URT ayant échoué dans Cisco ISE 3.4.

Étape 1 : Essayez la suppression standard des applications et arrêtez le service

Commencez par tenter de supprimer l'application URT et arrêtez les services Cisco ISE à l'aide des commandes CLI standard. Cette étape confirme l'état de verrouillage et génère les messages d'erreur nécessaires au diagnostic.

Commande pour supprimer l'application URT :

application remove urt

Continue with application removal? (y/n) [n] ? y

% An existing application install, remove, or upgrade is in progress. Try again shortly.

Commande pour arrêter les services ISE :

application stop ise

Waiting up to 20 seconds for lock: APP_INSTALL

APP_INSTALL to complete

Database is still locked by lock: APP_INSTALL

APP_INSTALL. Aborting. Please try it later

% Error: Another ISE DB process (APP_INSTALL APP_INSTALL) is in progress, cannot perform Application Stop at this time

Si vous recevez des messages indiquant qu'une autre installation, suppression ou mise à niveau est en cours, passez aux étapes suivantes du dépannage avancé.

Étape 2 : Identifiez le fichier de verrouillage de la base de données

Accédez au noeud avec des privilèges de niveau racine via l'interface de ligne de commande. Accédez au répertoire temporaire dans lequel les verrous de processus sont stockés.

Commande permettant de répertorier le contenu du répertoire /temp/ :

ls /temp/

Recherchez un fichier nommé ise_db_lock ou similaire. Ce fichier est chargé de maintenir le verrouillage de la base de données et d'empêcher les opérations de service.

Étape 3 : supprimez le fichier de verrouillage de base de données obsolète

Une fois le fichier de verrouillage identifié, supprimez-le pour supprimer la condition de verrouillage permanent.

Commande pour supprimer le fichier de verrouillage :

rm /temp/ise_db_lock

Cette action libère la base de données et permet d'autres opérations de gestion.

Étape 4 : Arrêtez et redémarrez les services ISE

Après avoir supprimé le fichier de verrouillage, arrêtez puis redémarrez les services Cisco ISE pour vous assurer que tous les processus sont réinitialisés et s'exécutent comme prévu.

Commande pour arrêter les services Cisco ISE :

application stop ise

Commande de démarrage des services Cisco ISE :

application start ise

Vérifiez qu'aucun message d'erreur lié à APP_INSTALL ne s'affiche et que les services s'arrêtent et démarrent correctement.

Étape 5 : Validez l'état d'exécution des services ISE

Vérifiez l'état opérationnel de tous les processus Cisco ISE pour vous assurer qu'ils fonctionnent normalement et qu'aucun verrou ne persiste.

Commande pour vérifier l'état en cours :

show application status ise

Exemple de rapport :

ISE PROCESS NAME                       STATE            PROCESS ID

--------------------------------------------------------------------

Database Listener                      running          4056

Database Server                        running          132 PROCESSES

Application Server                     running          9481

Profiler Database                      running          9774

ISE Elasticsearch                      running          24973

AD Connector                           running          35580

M&T Session Database                   running          7838

M&T Log Processor                      running          38134

ISE Messaging Service                  running          10373

ISE API Gateway Database Service       running          10825

ISE API Gateway Service                running          23058

ISE pxGrid Direct Service              running          67962

ISE pxGrid Direct Pusher               running          68973

Segmentation Policy Service            running          39231

REST Auth Service                      running          42849

SSE Connector                          disabled

Hermes (pxGrid Cloud Agent)            disabled

MFA (Duo Sync Service)                 running          44767

McTrust (Meraki Sync Service)          disabled

aciconn (ACI Connection Service)       disabled

Workload Connector Service             disabled

ISE Prometheus Service                 running          62697

ISE Prometheus Exporter                running          59234

ISE Grafana Service                    running          32873

ISE MNT LogAnalytics Elasticsearch     disabled

ISE Logstash Service                   disabled

ISE Kibana Service                     disabled

ISE Native IPSec Service               running          10210

MFC Profiler                           running          46329

ISE Prometheus Alertmanager Service    running          48962

Protocols Engine                       running          60381

Tous les principaux services Cisco ISE doivent indiquer « En cours d'exécution ».

Étape 6 : Validez la synchronisation des noeuds dans l'interface utilisateur graphique

1. Connectez-vous à l'interface utilisateur graphique (GUI) de Cisco ISE.

2. Accédez à : Administration > System > Deployment.

3. Assurez-vous que l'état de synchronisation des noeuds est correct et que tous les noeuds du déploiement multinoeud sont sains. Cela confirme que la condition de verrouillage n'a pas eu d'impact sur les communications des noeuds.

Motif

La cause principale du problème était la présence d'un fichier de verrouillage de base de données périmé (ise_db_lock) dans le répertoire /temp/. Ce fichier de verrouillage a été créé lors de l'échec de l'installation de l'ensemble URT et n'a pas été supprimé automatiquement. Le verrouillage persistant a empêché l'exécution d'autres opérations d'installation, de suppression ou de mise à niveau d'applications et a bloqué la possibilité d'arrêter les services Cisco ISE via l'interface de ligne de commande. En outre, la tentative d'opérations de mise à niveau natives dans un environnement Azure VM n'est pas prise en charge et Cisco recommande le redéploiement pour les mises à niveau dans les déploiements cloud.

Autres informations utiles

- Installer ISE sur le cloud Azure