ISE 3.3で制御されたアプリケーション再起動を設定する

はじめに

このドキュメントでは、ISE 3.3で管理証明書の制御されたアプリケーションの再起動を設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• ISEノード/ペルソナ
• ISE証明書の更新/編集/作成

使用するコンポーネント

このドキュメントの情報は、次のハードウェアとソフトウェアのバージョンに基づいています。

• Identity Service Engine(ISE)ソフトウェアバージョン3.3
• 2ノード展開

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

ISEでは、プライマリ管理ノード(PAN)の管理証明書が変更されると、最初にPAN、次に残りのノードという展開内のすべてのノードがリロードされ、すべてのサービスが中断されます。

管理証明書が他のノードで置き換えられた場合、再起動されるノードはその単一ノードだけです。

ISE 3.3には、ノードのリロードをスケジュールできる新機能が導入されています。これにより、各ノードの再起動をより適切に制御でき、すべてのサービスの中断を回避するのに役立ちます。

設定

PANノードの管理証明書を変更するには、次のようなさまざまなオプションがあります。

• 証明書署名要求(CSR)を作成し、管理者ロールを割り当てます。
• 証明書、秘密キーをインポートし、管理者ロールを割り当てます。
• 自己署名証明書を作成し、管理者ロールを割り当てます。

このドキュメントでは、CSRを使用した方法について説明します。

ステップ 1：証明書署名要求(CSR)の作成

1. ISEで、Administration > System > Certificates > Certificate Signing Requestsの順に移動します。
2. Generate Certificate Signing Request (CSR)をクリックします。
3. UsageでAdminを選択します。
4. Node(s)で、Primary Adminノードを選択します。
5. 証明書情報を入力します。
6. [Generate] をクリックします。
7. ファイルをエクスポートし、有効な権限で署名します。

CSRの作成

ステップ 2：CSRに署名したルートCAのインポート

1. ISEで、Administration > System > Certificates > Trusted Certificatesの順に移動します。
2. [Import] をクリックします。
3. Choose Fileをクリックし、ルートCA証明書を選択します。
4. フレンドリ名を入力します。
5. チェックボックスをオンにします。
   1. ISE内での認証の信頼性。
   2. シスコサービスの認証に対する信頼性。
6. [Submit] をクリックします。

ルート証明書のインポート

ステップ 3：署名付きCSRのインポート

1. ISEで、Administration > System > Certificates > Certificate Signing Requestsの順に移動します。
2. CSRを選択し、Bind Certificateをクリックします。
3. Choose fileをクリックし、signed certificateを選択します。
4. フレンドリ名を設定します。

バインド証明書

バインド証明書

ステップ 4：再起動時間の設定

1. 新しいセクションが表示されます。ここでは、再起動プロセスを設定します。
2. ノードごとに時間を設定することも、両方のノードを選択して同じ設定を適用することもできます。
3. 1つのノードを選択し、Set Restart Timeをクリックします。
4. dateとtimeを選択して、Saveをクリックします。
5. 時刻を確認し、すべてが正しければ、Submitをクリックします。

再起動時間の設定

再起動時刻の確認

確認

新しいタブが使用可能になったので、Administration > System > Certificates > Admin Certificate Node Restartの順に選択します。 実行した設定を検証し、必要に応じて変更できます。 

これを変更するには、Set Restart Time またはRestart Nowをクリックします。

再起動ステータスの確認

処理中にノードのステータスを検証できます。次の図は、一方のノードがリロードされ、もう一方が進行中の場合の例です。

PANが再起動しました

変更を確認し、レポートをリロードします。

設定変更を確認するには、Operations > Reports > Reports > Audit > Change Configuration Auditの順に移動します。

設定レポート

再起動を確認するには、Operations > Reports > Reports > Audit > Operations Auditの順に移動します。

レポートの再起動

***-ise-33-2、ise-psc.logからのサンプルログ：

Configuration applied:

2023-09-27 15:26:12,109 INFO  [DefaultQuartzScheduler_Worker-6][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartStatusJob -:::::- 
Restart is Not configured , Hence skipping restart status check for asc-ise33-1037
2023-09-27 15:26:57,775 INFO  [admin-http-pool6][[]] cpm.admin.infra.action.RestartAction -::admin:::- 
adminCertRestartData  received --{"items":[{"hostName":"asc-ise33-1037","restartTime":"2023-09-27:10:00PM"},
{"hostName":"***-ise-33-2","restartTime":"2023-09-27:10:00PM"}]}

Restart starts:

2023-09-27 21:59:11,952 INFO  [DefaultQuartzScheduler_Worker-6][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartStatusJob -:::::- 
Executing AdminCertControlledRestartStatusJob [AdminCertControlledRestart[id=4af7d9c4-31d9-48e0-83dc-19a6cf378528,hostname=***-ise-33-2,
noderestartconfig=2023-09-27:10:00PM,noderestartstatus=Not Restarted,details=Not Restarted,maxdate=Thu Oct 12 2023 14:26:59 GMT-0600 (hora estandar central)], 
AdminCertControlledRestart[id=38b811df-03b5-4a64-87b6-363290b6b4ce,hostname=asc-ise33-1037,noderestartconfig=2023-09-27:10:00PM,
noderestartstatus=Not Restarted,details=Not Restarted,maxdate=Thu Oct 12 2023 14:43:01 GMT-0600 (hora estandar central)]]
2023-09-27 21:59:12,113 INFO  [DefaultQuartzScheduler_Worker-6][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartStatusJob -:::::- 
Restart configured , proceeding to trackRestartStatus for ***-ise-33-2
2023-09-27 21:59:12,113 INFO  [DefaultQuartzScheduler_Worker-6][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartStatusJob -:::::- 
Restart configured , proceeding to trackRestartStatus for asc-ise33-1037
2023-09-27 22:00:00,003 INFO  [DefaultQuartzScheduler_Worker-3][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartSchedulerJob -:::::- 
Executing AdminCertControlledRestartSchedulerJob 
2023-09-27 22:00:00,022 INFO  [DefaultQuartzScheduler_Worker-3][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartSchedulerJob -:::::- 
Executing AdminCertControlledRestartSchedulerJob [AdminCertControlledRestart[id=4af7d9c4-31d9-48e0-83dc-19a6cf378528,hostname=***-ise-33-2,
noderestartconfig=2023-09-27:10:00PM,noderestartstatus=Not Restarted,details=Not Restarted,maxdate=Thu Oct 12 2023 14:26:59 GMT-0600 (hora estandar central)], 
AdminCertControlledRestart[id=38b811df-03b5-4a64-87b6-363290b6b4ce,hostname=asc-ise33-1037,noderestartconfig=2023-09-27:10:00PM,
noderestartstatus=Not Restarted,details=Not Restarted,maxdate=Thu Oct 12 2023 14:43:01 GMT-0600 (hora estandar central)]]
2023-09-27 22:00:00,288 INFO  [DefaultQuartzScheduler_Worker-3][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartSchedulerJob -:::::- 
Restart failed or not restarted yet , hence preparing restart for ***-ise-33-2
2023-09-27 22:00:00,288 INFO  [DefaultQuartzScheduler_Worker-3][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartSchedulerJob -:::::- 
Configured Date is now , hence proceeding for restart ,  for ***-ise-33-2
023-09-27 22:00:00,288 INFO  [DefaultQuartzScheduler_Worker-3][[]] cpm.infrastructure.certmgmt.api.AdminCertControlRestartUIAPI -:::::- 
updateRestartStatus updating restarted status
2023-09-27 22:00:00,288 INFO  [DefaultQuartzScheduler_Worker-3][[]] cpm.infrastructure.certmgmt.api.AdminCertControlRestartUIAPI -:::::- 
Updating the data for node: ***-ise-33-2
2023-09-27 22:00:00,313 INFO  [DefaultQuartzScheduler_Worker-3][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartSchedulerJob -:::::- 
Restart failed or not restarted yet , hence preparing restart for asc-ise33-1037
2023-09-27 22:00:00,313 INFO  [DefaultQuartzScheduler_Worker-3][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartSchedulerJob -:::::- 
Configured Date is now , hence proceeding for restart ,  forasc-ise33-1037
2023-09-27 22:00:00,324 INFO  [DefaultQuartzScheduler_Worker-3][[]] admin.caservice.certmgmt.scheduler.AdminCertControlledRestartSchedulerJob -:::::- 
restartNowList : ***-ise-33-2.aaamexrub.com,asc-ise33-1037.aaamexrub.com

***-ise-33-2、restartutil.logからのサンプルログ：

[main] Wed Sep 27 22:00:09 EST 2023:--------------------------------------------------------------- 
[main] Wed Sep 27 22:00:09 EST 2023:RestartUtil: BEGIN - Restart called with args apponly:1377:***-ise-33-2.aaamexrub.com,asc-ise33-1037.aaamexrub.com
[main] Wed Sep 27 22:00:09 EST 2023:--------------------------------------------------------------- 
[main] Wed Sep 27 22:00:14 EST 2023:RestartUtil: Restarting Local node
[main] Wed Sep 27 22:00:14 EST 2023:[/usr/bin/sudo, /opt/CSCOcpm/bin/cpmcontrol.sh, restart_appserver_es]
[main] Wed Sep 27 22:27:13 EST 2023:RestartUtil: Restarted local node and waiting for it to come up...
[main] Wed Sep 27 22:37:47 EST 2023:RestartUtil: Restart success for  local node .
[main] Wed Sep 27 22:37:48 EST 2023:RestartUtil: Restarting node asc-ise33-1037.aaamexrub.com
[main] Wed Sep 27 22:37:54 EST 2023:RestartUtil: statusLine>>>HTTP/1.1 200 
[main] Wed Sep 27 22:37:54 EST 2023:RestartUtil: Waiting for node asc-ise33-1037.aaamexrub.com to come up after restart...
[main] Wed Sep 27 22:52:43 EST 2023:RestartUtil: Restart successful on node: asc-ise33-1037.aaamexrub.com
[main] Wed Sep 27 22:52:43 EST 2023:RestartUtil: cred file deleted 
[main] Wed Sep 27 22:52:43 EST 2023:--------------------------------------------------------------- 
[main] Wed Sep 27 22:52:43 EST 2023:RestartUtil:END-  Restart called with args apponly:1377:***-ise-33-2.aaamexrub.com,asc-ise33-1037.aaamexrub.com
[main] Wed Sep 27 22:52:43 EST 2023:--------------------------------------------------------------- 
[main] Wed Sep 27 23:00:10 EST 2023: Usage RestartUtil local||remote  apponly|full  

asc-ise33-1037、restartutil.logからのサンプルログ：

main] Wed Sep 27 19:00:10 UTC 2023: Usage RestartUtil local||remote  apponly|full  
[main] Thu Sep 28 04:37:14 UTC 2023:--------------------------------------------------------------- 
[main] Thu Sep 28 04:37:14 UTC 2023:RestartUtil: BEGIN - Restart called with args apponly:1377:localhost
[main] Thu Sep 28 04:37:14 UTC 2023:--------------------------------------------------------------- 
[main] Thu Sep 28 04:37:16 UTC 2023:RestartUtil: Restarting Local node
[main] Thu Sep 28 04:37:16 UTC 2023:[/usr/bin/sudo, /opt/CSCOcpm/bin/cpmcontrol.sh, restart_appserver_es]
[main] Thu Sep 28 04:52:41 UTC 2023:RestartUtil: Restarted local node and waiting for it to come up...

[main] Thu Sep 28 04:53:12 UTC 2023:RestartUtil: Restart success for  local node .
[main] Thu Sep 28 04:53:12 UTC 2023:RestartUtil: cred file deleted 
[main] Thu Sep 28 04:53:12 UTC 2023:--------------------------------------------------------------- 
[main] Thu Sep 28 04:53:12 UTC 2023:RestartUtil:END-  Restart called with args apponly:1377:localhost
[main] Thu Sep 28 04:53:12 UTC 2023:--------------------------------------------------------------- 

トラブルシュート

この機能に関する情報を確認するには、次のファイルをチェックします。

• ise-psc.log
• 再起動tutil.log

コマンドラインからリアルタイムでチェックするには、次のコマンドを使用します。

show logging application restartutil.log tail
show logging application ise-psc.log tail

関連情報

•シスコのテクニカルサポートとダウンロード