アップグレードプロセス中に発生する可能性のある現在の展開の問題に対処するため、次のガイドラインに従ってください。これにより、全体的なダウンタイムが短縮できます。

• アップグレードの開始前に、既存のバージョンで最新のパッチにアップグレードします。
   Note

  以前の からアップグレードするときに、SSM オンプレミスサーバーが設定されている場合は、アップグレードプロセスを開始する前に SSM オンプレミスサーバーを切断する必要があります。

• 実稼働システムに影響を与えることなく問題を特定して対処するために、ステージング環境でアップグレードをテストします。
  • データを交換するには、Cisco ISE 展開内のすべてのノードが同じパッチレベルにあることが必要です。
     Note

    展開内のすべてのノードが同じ Cisco ISE バージョンおよびパッチバージョンを実行していない場合、「Upgrade cannot begin（アップグレードを開始できません）」という警告メッセージが表示されます。これは、アップグレードがブロックされていることを意味します。アップグレードを開始する前に、すべてのノードに同じバージョンとパッチがインストールされていることを確認してください。

  • Cisco ISE リリース 3.2 パッチ 3 より前の Cisco ISE リリースからアップグレードする場合は、次のガイドラインに従います。
    • 展開内の PSN の数や利用可能なスタッフに応じて、必要な最終バージョンの Cisco ISE をインストールし、最新のパッチを適用して、システムを使用できるようにします。
    • MnT ログを保持する場合は、MnT ノードに対してタスクを実行し、MnT ノードとして新しい展開に参加させます。ただし、操作ログを保持する必要がない場合は、MnT ノードを再イメージ化してこの手順をスキップできます。
    • 実稼働環境に影響を与えることなく、Cisco ISE のインストールをマルチノード展開で並行して実行できます。Cisco ISE サーバーを並列にインストールすると、特に以前のリリースのバックアップおよび復元を使用している場合、時間が節約されます。
    • 新しい展開に PSN を追加して、PAN からの登録プロセス中に既存のポリシーをダウンロードすることができます。
  • 新しい展開に古いログを転送するのではなく、アーカイブすることをお勧めします。後で MnT ロールを変更した場合、MnT ノードで操作ログを復元しても、他のノードと同期されません。
  • 完全に分散展開されているデータセンターが 2 つある場合は、最初にバックアップデータセンターをアップグレードします。その後、プライマリデータセンターをアップグレードする前にユースケースをテストします。
• アップグレード前にローカルリポジトリでアップグレードソフトウェアをダウンロードおよび保存し、プロセスを高速化します。
• 現在最新の Cisco ISE リリースにアップグレードしている場合は、正常性チェックまたはアップグレード準備ツール（URT）を使用して、アップグレードプロセスを開始する前にシステム診断を実行できます。
• アップグレードプロセスを開始する前に、URT を使用して、設定データアップグレードの問題を検出して修正します。ほとんどのアップグレードの障害は、アップグレード中の設定データの問題が原因で発生します。URT は、可能な場合は、必ずアップグレード前にデータを検証して問題を特定し、修正または報告します。URT は、セカンダリ PAN またはスタンドアロンノードで実行できる個別のダウンロード可能なバンドルとして利用できます。このツールを実行するのにダウンタイムは発生しません。次のビデオで URT の使用方法について説明します。https://video.cisco.com/detail/video/5797832452001
   Warning

  プライマリ PAN で URT を実行しないでください。URT ツールは、MnT 運用データのアップグレードのシミュレーションは行いません。

• GUI を使用して Cisco ISE をアップグレードする場合は、です。各ノードで生成されたシステムのタイムスタンプが表示されます。URT を使用するとアップグレードに余分の時間がかかる場合は、代わりに CLI を使用することを推奨します。
• 設定を変更する前に、ロードバランサをバックアップします。アップグレードウィンドウ中にロードバランサから PSN を削除し、アップグレード後に再び追加できます。
• 自動 PAN フェールオーバーを無効にして（設定されている場合）、アップグレード中に PAN 間のハートビートを無効にします。
• 既存のポリシーを確認し、古いルールや冗長なルールを削除します。
• 不要なモニターリングログとエンドポイントデータを削除します。
• 設定と動作のログのバックアップを作成し、ネットワークに接続されていない一時的なサーバーで復元することができます。アップグレードウィンドウ中はリモートロギングターゲットを使用できます。 アップグレード後に次のオプションを使用して、MnT ノードに送信されるログの量を削減し、パフォーマンスを向上させることができます。
  • MnT コレクションフィルタを使用して、着信ログをフィルタリングし、AAA ログでエントリが重複しないようにします。このウィンドウを表示するには、Cisco ISE GUI で[管理（Administration）] > [システム（System）] > [ロギング（Logging）] > [収集フィルタ（Collection Filters）]に移動します。
  • リモートロギングターゲットを作成するには、Cisco ISE GUI で[管理（Administration）] > [システム（System）] > [ロギング（Logging）] > [リモートロギングターゲット（Remote Logging Targets）]に移動します。その後、Cisco ISE GUI で[システム（System）] > [ロギング（Logging）] > [ロギングカテゴリ（Logging categories）]に移動することで、各ロギングカテゴリを特定のロギングターゲットにルーティングできます。
  • 繰り返し発生するアカウンティング更新を回避するには、[繰り返し発生する更新を無視（Ignore Repeated Updates）] オプションを有効にします。このウィンドウを表示するには、Cisco ISE GUI で [管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [RADIUS] に移動します。
• アップグレードの最新のアップグレードバンドルをダウンロードして使用します。バグ検索ツールで次のクエリを使用して、アップグレードに関連するオープンおよび修正済みの不具合を見つけます。http://cs.co/ise-upgrade-bugsearch
• ユーザー数を減らした新しい展開ですべての使用例をテストし、サービスの継続性を確保します。

Cisco ISE にはいくつかの事前定義された承認複合条件が付属しています。以前の展開に、事前定義済み承認複合条件と同じ名前の承認単純条件がある場合、アップグレードプロセスは失敗します。アップグレードする前に、承認単純条件の名前を変更し、事前定義済み複合条件と名前が重複しないようにしてください。

アップグレードの失敗を防ぐために、アップグレード中に承認単純条件名と重複していない、事前定義済み承認複合条件名のリストを次に示します。

• Compliance_Unknown_Devices
• Non_Compliant_Devices
• Compliant_Devices
• Non_Cisco_Profiled_Phones
• Switch_Local_Web_Authentication
• Catalyst_Switch_Local_Web_Authentication
• Wireless_Access
• BYOD_is_Registered
• EAP-MSCHAPv2
• EAP-TLS
• Guest_Flow
• MAC_in_SAN
• Network_Access_Authentication_Passed

RHEL 7 は E1000 および VMXNET3 ネットワークアダプタのみをサポートします。アップグレードする前に、ネットワークアダプタのタイプを変更します。

アップグレードの前に、非 ASCII 文字を含むスポンサーグループの名前を変更し、ASCII 文字のみを使用するようにしてください。

Cisco ISE では、スポンサーグループ名に非 ASCII 文字はサポートされません。

PAN と他のノードの間にファイアウォールを展開している場合、次のポートがアップグレード前に開いている必要があります。

• TCP 1521：（PAN）とモニタリングノード間の通信用。
• TCP 443：（PAN）とその他すべてのセカンダリノード間の通信用。
• TCP 12001：グローバルクラスタのレプリケーション用。
• TCP 7800 および 7802：PSN がノードグループの一部である場合、PSN グループのクラスタリングに必要です。

Cisco ISE が使用するすべてのポートのリストについては、『Cisco ISE Installation Guide, Release 3.5』の「Cisco ISE Ports Reference」の章を参照してください。

CLI または GUI から Cisco ISE 設定および運用データのバックアップを取得します。CLI を使用して設定および運用データをバックアップするには、次のコマンドを入力します。

backup backup-name repository repository-name {ise-config | ise-operational} encryption-key {hash | plain} encryption-keyname

 Note

Cisco ISE が VMware で実行されている場合、Cisco ISE データをバックアップするのに、VMware スナップショットはサポートされていません。

VMware スナップショットは特定の時点で、VM のステータスを保存します。マルチノード Cisco ISE 展開では、すべてのノードが現在のデータベースと継続的にデータを同期します。スナップショットを復元すると、データベースのレプリケーションと同期の問題を引き起こす可能性があります。データのアーカイブおよび復元には、Cisco ISE のバックアップ機能を使用します。

VMware スナップショットを使用して Cisco ISE データをバックアップすると、Cisco ISE サービスが停止します。ISE ノードを復元するには、再起動します。

Cisco ISE GUI からバックアップを取得するには、次の手順を実行します。

1. Cisco ISE GUI で、[管理（Administration）] > [メンテナンス（Maintenance）] > [バックアップと復元（Backup and Restore）]に移動します。
2. [すぐにバックアップ（Backup Now）] をクリックします。
3. バックアップを実行するために必要な値を入力します。
4. [OK] をクリックします。
5. バックアップが正常に完了したことを確認します。 ノードロールの変更または昇格は、バックアップが完了するまでお待ちください。バックアップ中にノードロールを変更すると、すべてのプロセスがシャットダウンし、データの不整合が発生する可能性があります。

バックアップ後、バックアップファイルが指定リポジトリにあることを確認します。Cisco ISE では、バックアップファイル名にタイムスタンプを付加し、設定バックアップには CFG タグ、操作バックアップには OPS タグを追加します。

 Note

Cisco ISE では、ある Cisco ISE ノード（A）からバックアップを取得して、別の Cisco ISE ノード（B）に復元することができます。両方のノードは同じホスト名（IP アドレスは異なる）です。ただし、ノード B 上のバックアップを復元した後は、証明書とポータルグループタグの問題が生じる可能性があるため、ノード B のホスト名を変更することはできません。

CLI を使用して、PAN からシステムログのバックアップを取得します。次の CLI コマンドを使用します。

backup-logs backup-name repository repository-name encryption-key { hash | plain} encryption-key name

アップグレードプロセスは、Cisco ISE の信頼できる証明書またはシステム証明書ストアの証明書の期限が切れていると、失敗します。

アップグレードする前に、次の手順に従って、信頼できる証明書の有効性を確認します。

同様に、次の手順に従ってシステム証明書の有効性を確認します。

Cisco ISE のバックアップを実行した場合は、展開の変更を実行できません。アップグレードをスムーズに行うため、自動設定を無効化してください。Cisco ISE をアップグレードする前に、次の設定を無効化する必要があります。

• [PANの自動フェールオーバー（PAN Automatic Failover）]：Cisco ISE をアップグレードする前に、PAN でこのオプションを無効化します。
• [スケジュールバックアップ（Scheduled backups）]：アップグレード前に、すべてのバックアップスケジュールを無効化します。アップグレード後、バックアップスケジュールを変更して再作成します。 1 回実行するようにスケジュールされたバックアップは、Cisco ISE アプリケーションが再起動するたびにトリガーされます。1 回のみ実行するように設定されたバックアップスケジュールがある場合は、アップグレード前に無効化してください。

アップグレード中、Cisco ISE ノードは再起動して、PAN からにデータを移行、複製します。これらの操作では、ネットワーク内の NTP サーバーが正しく設定され、到達可能であることが重要です。NTP サーバーが正しく設定されていない、または到達不能な場合、アップグレードプロセスは失敗します。

ネットワーク内の NTP サーバーが、アップグレードプロセス全体を通して到達可能で、応答性があり、同期していることを確認します。

Cisco ISE の以前のバージョンでは、Network Time Protocol デーモン（ntpd）の代わりに chrony が使用されます。ntpd はルート分散が最大 10 秒のサーバーと同期しますが、chrony はルート分散が 3 秒未満のサーバーと同期します。したがって、NTP サービスの中断を回避するために、必須の Cisco ISE バージョンにアップグレードする前に、ルート分散が低い NTP サーバーを使用することを推奨します。

プロファイラサービスを使用する場合、管理者ポータルから、各 PSN のプロファイラ構成を記録してください。

外部アイデンティティソースとして Active Directory（AD）を使用する場合は、AD のクレデンシャルと有効な内部管理者アカウントを用意してください。アップグレード後に、AD 接続が失われることがあります。その場合、管理者ポータルにログインするために Cisco ISE 内部管理者アカウントを使用し、Cisco ISE と AD を再接続するために Active Directory のクレデンシャルを使用してください。

展開がサードパーティのモバイルデバイス管理（MDM）ソリューションと連携する場合は、アップグレード前に MDM ベンダーのステータスが有効であることを確認します。

MDM サーバー名が承認ポリシーで使用され、対応する MDM サーバーが無効の場合は、アップグレードプロセスは失敗します。回避策として、次のいずれかを実行できます。

1. アップグレードの前に MDM サーバーを有効にします。
2. 承認ポリシーから MDM サーバー名属性を使用する条件を削除します。

リポジトリを作成して、バックアップを取得してアップグレードバンドルをコピーします。詳細については、『Cisco ISE Administrator Guide, Release 3.5』にある「Maintain and Monitor」の章の「Create Repositories」を参照してください。

たとえば、アップグレードバンドルのコピーに SFTP を使用するには、次を実行できます。

1. （ホストキーが存在しない場合は追加します）crypto host_key add host mySftpserver
2. copy sftp://aaa.bbb.ccc.ddd/ise-upgradebundle-3.2.x-3.4.x-to-3.5.0.<build#>.SPA.x86_64.tar.gz disk:/ aaa.bbb.ccc.ddd は SFTP サーバーの IP アドレスまたはホスト名、ise-upgradebundle-3.2.x-3.4.x-to-3.5.0.<build#>.SPA.x86_64.tar.gz はアップグレードバンドルの名前です。

PAN と PSN 間でロードバランサを使用している場合は、アップグレードプロセスが中断されないように、ロードバランサのセッションタイムアウトを十分長く設定してください。セッションタイムアウトが短すぎると、PSN でアップグレードが中断される可能性があります。たとえば、PAN から PSN へのデータベース転送中にセッションが終了すると、PSN でのアップグレードが失敗します。