目录

简介

先决条件

要求

使用的组件

支持的路径

完全升级与分离升级方法的比较

分布式部署中节点升级的分割升级方法

分布式部署中节点升级的完整升级方法

完全升级比拆分升级方法的优势

完整升级流程

升级UI

欢迎页面

核对清单

准备升级

升级试运行

升级节点

摘要

运行状况检查

升级后任务

问题和补救

简介

本文档介绍如何使用完整升级方法将现有ISE部署从版本2.7升级到3.1。它还包括如何使用运行状况检查功能检测和修复任何潜在部署问题。现在，旧版升级方法被称为拆分升级，如果不首选完全升级方法，则可作为备用选项。

先决条件

要求

Cisco 建议您了解以下主题：

- 身份服务引擎 (ISE)

- 了解用于描述不同类型ISE部署的术语

使用的组件

本文档中的信息基于以下软件和硬件版本：

- ISE版本2.7，补丁4

- ISE版本3.1

本文档中的信息是从特定实验环境中的设备创建的。本文档中使用的所有设备都以已清除（默认）的配置开始。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

注意：该过程与其他ISE版本类似或相同。除非另有说明，否则这些步骤可在2.6及更高版本上用于升级到3.1及更高版本的ISE软件。

支持的路径

支持从以下位置完全升级到ISE 3.1:

- ISE 2.6补丁10及更高版本

- ISE 2.7补丁4及更高版本

- ISE 3.0补丁3及更高版本

从ISE 2.6及更高版本支持拆分升级到ISE 3.1，无论是否有任何补丁。

完全升级与分离升级方法的比较

分布式部署中节点升级的分割升级方法

要升级到较新版本，完全分布式部署至少需要5个步骤。

考虑到每个步骤大约需要240分钟，此处的升级过程总时间将为240*5分钟= 20小时。

分布式部署中节点升级的完整升级方法

完全分布式部署只需2个步骤即可升级到较新版本。

同样，考虑到每个步骤大约需要240分钟，总升级过程现在减少到240*2分钟= 8小时。

完全升级比拆分升级方法的优势

- “完全升级”方法会占用较少的整体活动时间，因为节点是并行升级的，而“拆分升级”方法需要在维护窗口的较长时间内进行良好规划。

- 完整升级方法在升级顺序方面无需麻烦，因为只有2个步骤。拆分升级方法要求在开始升级过程之前对节点进行适当排序。

- 完整升级方法保留升级前的角色和角色。拆分升级方法在升级版本中切换主要和辅助管理员角色。

- 通过在升级过程中消除与部署相关的更改对API的依赖，在完全升级方法中减少了故障点。

- 完全升级方法允许在主管理节点关闭进行升级时从辅助管理节点跟踪升级状态。在拆分升级方法中不能执行此操作。

- 升级后补丁安装是自动的，在完全升级方法中提供。

警告：完全升级需要完全停机，因为所有PSN同时停止升级。确保在计划的维护时段内计划活动。

完整升级流程

本文档演示4节点部署的升级流程。对于双节点或其他多节点部署，整个流程保持不变。

升级UI

导航至Administration > System > Upgrade以开始如图所示的活动。

注意：ISE 2.6补丁9及更低版本、ISE 2.7补丁3及更低版本以及ISE 3.0补丁2及更低版本仅支持拆分升级方法。默认情况下，会为这些版本启动“拆分升级”窗口。可以从此处参考拆分升级过程。选择“完全升级”单选按钮，然后单击Start Upgrade。

欢迎页面

在欢迎页面向导中，单击Next以继续。

核对清单

检查核对表并确保在继续之前完成任务。

勾选表示我已查看核对表的复选框，然后单击下一步。

准备升级

升级前，在整个部署上运行预检，结果将显示在此页上。除检查外，此步骤将在所有节点上下载升级捆绑包，脱机数据升级(ODU)在辅助管理节点上运行(这类似于分离升级方法的升级就绪工具(URT)模拟)，最后，它还显示活动的时间估计。

升级捆绑包将从思科软件下载页面下载。

要运行升级前检查，请选择放置升级捆绑包的存储库名称。从“捆绑包”下拉框中选择升级捆绑包文件名。

注意：完整升级方法还引入了升级后自动安装补丁。修补程序文件将与升级捆绑包一起放置在同一存储库中，如果需要自动安装修补程序，可以从下拉列表中选择修补程序文件名。

单击Start Preparation以开始运行预检。除捆绑包下载和配置数据升级检查外，所有预检在启动系统验证4小时后自动过期。配置数据升级（除ODU外）在12小时后过期。

注意：在升级活动之前，应禁用PAN故障切换设置。如果不手动完成，则升级触发后会自动禁用。

注意：ISE 3.0及更高版本要求使用智能许可。它不支持传统许可。如果在升级之前未启用或注册智能许可，默认情况下，ISE在升级后进入智能许可评估期。许可证迁移参考链接：产品 — ISE许可迁移指南 — 思科。当您将ISE从2. x升级到3. x时，涉及许可层更改。详情请见：思科身份服务引擎 — 思科ISE许可证常见问题 — 思科。

警告：一旦触发配置数据升级，ISE上的所有配置更改都将避免。升级后，所做的任何更改都会丢失。

如果任何组件预检失败，则根据其重要性以红色或橙色显示。以红色突出显示的故障需要强制性地进行纠正，然后再继续。橙色突出显示的警告不会停止升级过程，但最好将其作为最佳实践进行修复，避免将来影响部署特性和功能。

纠正错误后，单击“开始暂存”继续。

升级试运行

在升级暂存期间，升级的数据库文件将复制到部署中的所有节点，并且配置文件将备份到部署的所有节点。

转储文件已作为ODU的一部分存在于辅助管理节点上。因此，在此步骤中，辅助管理节点仅为CA NSS DB、智能许可和DHCP/DNS配置创建备份文件。所有其他节点也会创建这些文件，但需要从辅助管理节点另外复制转储文件。

当所有节点的暂存完成时，单击Next。

升级节点

单击Start以触发升级。

弹出消息确认升级已触发，且所有节点都显示在具有升级状态的队列中。由于升级首先在主管理节点上启动，因此系统会从此节点注销，现在可以从辅助管理节点的GUI监控升级状态。在辅助管理节点的GUI上导航到Administration > System > Upgrade，以继续查看状态。

升级主管理节点并启动服务后，系统将从辅助管理节点的GUI注销。用户现在可以从主管理节点的GUI切换回监控状态，同时部署的所有其他节点同时关闭以进行升级。

所有节点升级成功后，状态将变为绿色。

如果存在任何故障节点，将显示一个弹出窗口，其中包含有关故障节点的信息。在弹出窗口中单击OK，从部署中取消注册失败节点。这些设备必须单独升级/重新映像，并重新加入部署（如果有）。

单击Next以查看整体升级摘要报告。

摘要

升级过程完成后，可从此页面查看和下载部署的诊断升级报告。

运行状况检查

为了在升级后验证部署状态，系统会自动运行运行状况检查以验证部署状态。此报告可从升级流程的摘要页面下载。如果在任何时间点都需要按需运行状况检查，请导航至Administration > System > Health Checks，然后单击Start Health Checks。

升级后任务

当用户在您完成升级后登录到主管理节点的GUI时，会显示有关升级后任务的弹出消息。

单击弹出消息上的升级后任务超链接，以查看任务详细信息并完成任务。

问题和补救

1. 如果主管理节点升级失败，请将辅助管理员升级到主管理员，然后重试升级。

2. 如果升级在除主要管理员之外的任何其他节点上失败，则必须从部署中注销该节点。此节点必须单独升级或直接重新映像到升级版本，并且可以重新加入到部署。