Introduction
Ce document décrit comment mettre à niveau un déploiement ISE existant de la version 2.7 vers la version 3.1 à l'aide de la méthode de mise à niveau complète.
Conditions préalables
Exigences
Cisco vous recommande de prendre connaissance des rubriques suivantes :
- Identity Services Engine (ISE)
- Compréhension de la terminologie utilisée pour décrire les différents types de déploiements ISE
Composants utilisés
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
- ISE, version 2.7, correctif 4
- ISE, version 3.1
The information in this document was created from the devices in a specific lab environment. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.
Remarque : la procédure est similaire ou identique aux autres versions d'ISE. Ces étapes peuvent être utilisées sur la version 2.6 pour effectuer une mise à niveau vers la version 3.1 et les versions logicielles ISE, sauf indication contraire.
Informations générales
Il explique également comment utiliser la fonction de contrôle d'intégrité pour détecter et résoudre les problèmes de déploiement potentiels. L'ancienne méthode de mise à niveau est désormais appelée mise à niveau fractionnée et est disponible en tant qu'option alternative si la méthode de mise à niveau complète n'est pas préférée.
Chemins pris en charge
La mise à niveau complète vers ISE 3.1 est prise en charge depuis
- ISE 2.6 correctif 10 et ultérieur
- ISE 2.7 correctif 4 et ultérieur
- ISE 3.0 correctif 3 et ultérieur
La mise à niveau fractionnée vers ISE 3.1 est prise en charge à partir de ISE 2.6 et des versions ultérieures, avec ou sans correctif.
Comparaison de la mise à niveau complète avec la méthode de mise à niveau fractionnée
Séquence de mise à niveau de noeud avec méthode de mise à niveau fractionnée dans un déploiement distribué
Nécessite un minimum de 5 étapes pour un déploiement entièrement distribué afin d'effectuer une mise à niveau vers la version la plus récente.
![Séquençage de noeuds dans la méthode de mise à niveau fractionnée](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-00.png)
Si l'on considère environ 240 minutes pour chaque étape, le processus de mise à niveau total ici prendrait 240*5 minutes = 20 heures.
Séquence de mise à niveau de noeud avec méthode de mise à niveau complète dans un déploiement distribué
Nécessite seulement 2 étapes pour un déploiement entièrement distribué afin de mettre à niveau vers la version la plus récente.
![Séquençage des noeuds dans la méthode de mise à niveau complète](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-01.png)
Encore une fois, si l'on considère environ 240 minutes pour chaque étape, le processus de mise à niveau total est désormais réduit à 240*2 minutes = 8 heures.
Avantages de la mise à niveau complète par rapport à la méthode de mise à niveau fractionnée
- La méthode de mise à niveau complète consomme moins de temps pour l'activité globale car les noeuds sont mis à niveau en parallèle, alors que la méthode de mise à niveau fractionnée doit être bien planifiée avec une durée plus longue de la fenêtre de maintenance.
- La méthode de mise à niveau complète est simple en termes de séquence de mise à niveau car il n'y a que 2 étapes. La méthode de mise à niveau fractionnée nécessite que les noeuds soient séquencés de manière appropriée avant de démarrer le processus de mise à niveau.
- La méthode de mise à niveau complète conserve les rôles et les personas tels qu'ils étaient avant la mise à niveau. La méthode de mise à niveau fractionnée fait basculer les rôles admin principal et secondaire dans la version mise à niveau.
- Les points de défaillance ont été réduits dans la méthode de mise à niveau complète en éliminant la dépendance de l'API avec les modifications liées au déploiement au cours du processus de mise à niveau.
- La méthode Mise à niveau complète permet de suivre l'état de la mise à niveau à partir du noeud d'administration secondaire lorsque le noeud d'administration principal est arrêté pour une mise à niveau. Cela n'est pas possible avec la méthode de mise à niveau fractionnée.
- L'installation des correctifs après la mise à niveau est automatisée et est fournie en option dans la méthode de mise à niveau complète.
Attention : la mise à niveau complète nécessite un temps d'arrêt complet car tous les PSN sont arrêtés pour la mise à niveau en même temps. Assurez-vous que l'activité est planifiée au cours d'une fenêtre de maintenance planifiée.
Flux de mise à niveau complète
Ce document présente le flux de mise à niveau d'un déploiement à 4 noeuds. Le processus global reste le même pour les déploiements à deux noeuds ou à plusieurs noeuds.
![Exemple de déploiement](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-02.png)
Mise à niveau UI
Accédez à Administration > System > Upgrade afin de commencer l'exercice comme indiqué dans l'image.
![Sélection de l'option Mise à niveau complète](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-03.png)
Remarque : seule la méthode de mise à niveau partagée est prise en charge sur le correctif 9 ISE 2.6 et versions ultérieures, le correctif 3 ISE 2.7 et versions ultérieures, et le correctif 2 ISE 3.0 et versions ultérieures. Par défaut, la fenêtre Mise à niveau fractionnée est lancée pour ces versions. Le processus de mise à niveau fractionnée peut être consulté ici. Sélectionnez la case d'option Mise à niveau complète et cliquez sur Démarrer la mise à niveau.
Page de bienvenue
![Page de bienvenue Mise à niveau complète](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-04.png)
Dans l'assistant de la page d'accueil, cliquez sur Next afin de continuer.
Liste de vérification
Vérifiez la liste de contrôle et assurez-vous d'effectuer les tâches avant de continuer.
![Liste de contrôle pour la mise à niveau](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-05.png)
Cochez la case I have review the checklist et cliquez sur Next.
Préparer la mise à niveau
Une vérification préalable est effectuée sur l'ensemble du déploiement avant la mise à niveau et les résultats s'affichent sur cette page. Outre les vérifications, à cette étape, le bundle de mise à niveau est téléchargé sur tous les noeuds, la mise à niveau de données hors ligne (ODU) est exécutée sur le noeud d'administration secondaire (ce qui est analogue à la simulation de l'outil de préparation à la mise à niveau (URT) de la méthode de mise à niveau partagée) et enfin, il affiche également l'estimation de temps pour l'activité.
Le bundle de mise à niveau doit être téléchargé à partir de la page de téléchargement de logiciels Cisco.
![L'offre groupée de mise à niveau sur Cisco.com](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-06.png)
Afin d'exécuter la vérification préalable à la mise à niveau, sélectionnez le nom du référentiel dans lequel le bundle de mise à niveau est placé. Sélectionnez le nom du fichier du bundle de mise à niveau dans la liste déroulante Bundle.
Remarque : la méthode de mise à niveau complète introduit également l'installation automatique des correctifs après la mise à niveau. Le fichier de correctif doit être placé dans le même référentiel avec l'offre groupée de mise à niveau et le nom du fichier de correctif peut être sélectionné dans la liste déroulante si une installation automatique du correctif est souhaitée.
![Préparer la mise à niveau](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-07.png)
Cliquez sur Start Preparation afin de commencer à exécuter les vérifications préalables. Toutes les vérifications préalables, à l'exception de la vérification Téléchargement de l'offre groupée et Mise à niveau des données de configuration, expirent automatiquement après 4 heures de lancement de la validation du système. La mise à niveau des données de configuration, qui n'est rien d'autre que l'ODU, expire au bout de 12 heures.
![Vérification préalable du système avant la mise à niveau](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-08.png)
Remarque : désactivez le paramètre de basculement PAN avant l'activité de mise à niveau. Si ce n'est pas fait manuellement, il est automatiquement désactivé une fois la mise à niveau déclenchée.
Remarque : ISE 3.0 et les versions répertoriées exigent l'utilisation de licences Smart. Il ne prend pas en charge les licences traditionnelles. Si les licences Smart ne sont pas activées ou enregistrées avant la mise à niveau, ISE atterrit sur la période d'évaluation des licences Smart par défaut après la mise à niveau. Lien de référence sur la migration des licences : Produits - Guide de migration des licences ISE - Cisco. Lorsque vous mettez à niveau ISE de 2.x vers 3.x, cela implique des modifications de niveau de licence.
Attention : tous les types de modifications de configuration sur ISE doivent être évités une fois la mise à niveau des données de configuration déclenchée. Toute modification apportée serait perdue après la mise à niveau.
Si l'une des vérifications préalables échoue, elles s'affichent en rouge ou en orange en fonction de leur degré de criticité. Les défaillances signalées en rouge doivent obligatoirement être corrigées avant de continuer. Les avertissements mis en surbrillance en orange ne peuvent pas arrêter le processus de mise à niveau. Toutefois, il est préférable de les corriger en tant que meilleure pratique et d'éviter d'affecter les fonctionnalités et fonctionnalités de déploiement à l'avenir.
Une fois les erreurs corrigées, cliquez sur Start Staging (Démarrer la préparation) pour continuer.
Mise à niveau intermédiaire
Au cours de la phase intermédiaire de mise à niveau, le fichier de base de données mis à niveau est copié sur tous les noeuds du déploiement et les fichiers de configuration sont sauvegardés sur tous les noeuds du déploiement.
Le fichier de vidage est déjà présent sur le noeud d'administration secondaire dans le cadre de l'unité de données d'exploitation. Par conséquent, dans cette étape, le noeud d'administration secondaire crée uniquement des fichiers de sauvegarde pour la base de données NSS CA, la licence Smart et la configuration DHCP/DNS. Tous les autres noeuds créent également ces fichiers, mais ils doivent également copier le fichier de vidage à partir du noeud d'administration secondaire.
![Mise à niveau intermédiaire](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-09.png)
Cliquez sur Next lorsque la préparation est terminée pour tous les noeuds.
Mettre à niveau les noeuds
Cliquez sur Start afin de déclencher la mise à niveau.
![Mise à niveau des noeuds](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-10.png)
Un message contextuel confirme que la mise à niveau est déclenchée et que tous les noeuds sont affichés dans une file d'attente avec l'état de mise à niveau. Puisque la mise à niveau est initiée sur le noeud d'administration principal en premier, le système se déconnecte de ce noeud et maintenant l'état de la mise à niveau peut être surveillé à partir de l'interface graphique utilisateur du noeud d'administration secondaire. Accédez à Administration > System > Upgrade sur l'interface graphique utilisateur du noeud d'administration secondaire afin de continuer à afficher l'état.
![Progression de la mise à niveau du PAN secondaire](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-11.png)
Une fois que le noeud d'administration principal est mis à niveau et que les services sont activés, le système se déconnecte de l'interface utilisateur graphique du noeud d'administration secondaire. Les utilisateurs peuvent désormais revenir à la surveillance de l'état à partir de l'interface utilisateur graphique du noeud d'administration principal, tandis que tous les autres noeuds du déploiement sont arrêtés pour la mise à niveau en même temps.
![Progression de la mise à niveau depuis le PAN principal](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-12.png)
Une fois que tous les noeuds ont été mis à niveau avec succès, l'état passe à la couleur verte.
![État de fin de mise à niveau](/c/dam/en/us/support/docs/security/identity-services-engine/217509-upgrade-ise-with-full-upgrade-method-13.png)
En cas d'échec de noeuds, une fenêtre contextuelle contenant des informations sur le noeud défaillant s'affiche. Cliquez sur OK dans la fenêtre contextuelle pour annuler l'enregistrement des noeuds en échec du déploiement. Ils doivent être mis à niveau/rereprésentés individuellement et être associés au déploiement, le cas échéant.
Cliquez sur Next afin d'afficher les rapports récapitulatifs de mise à niveau globale.
Résumé
Une fois le processus de mise à niveau terminé, les rapports de mise à niveau de diagnostic pour le déploiement peuvent être affichés et téléchargés à partir de cette page.
Contrôles de santé
Afin de valider l'état du déploiement après la mise à niveau, un contrôle d'intégrité s'exécute automatiquement pour vérifier l'état du déploiement. Ce rapport peut être téléchargé à partir de la page Résumé du flux de mise à niveau. Si un contrôle d'intégrité à la demande est requis à tout moment, accédez à Administration > System > Health Checks et cliquez sur Start Health Checks.
Tâches post-mise à niveau
Lorsqu'un utilisateur se connecte à l'interface utilisateur graphique du noeud d'administration principal une fois la mise à niveau terminée, un message contextuel s'affiche concernant les tâches post-mise à niveau.
Cliquez sur le lien hypertexte des tâches post-mise à niveau dans le message contextuel afin de consulter les détails des tâches et de les terminer.
Problèmes et solutions
- Si la mise à niveau du noeud d'administration principal échoue, promouvez l'administrateur secondaire en administrateur principal, puis réessayez la mise à niveau.
- Si la mise à niveau échoue sur un autre noeud, à l'exception de l'administrateur principal, le noeud doit être désinscrit du déploiement. Ce noeud doit être mis à niveau individuellement ou réimagé directement vers la version mise à niveau et peut être joint au déploiement.