FireAMP私有云3.0.1升级程序

简介

本文档介绍如何将FireAMP私有云(vPC)版本2.4.4升级到版本3.0.1。请注意，升级过程需要3.0.1版本的新虚拟机实例。

先决条件

要求

Cisco 建议您了解以下主题：

• 在VMWare ESXi中安装开放式虚拟设备(OVA)模板
• 了解虚拟AMP云如何工作和运行的基本知识

硬件要求

以下是FireAMP私有云的最低硬件要求：

• vSphere ESX 5或更高版本
• 8个CPU
• 64 GB RAM
• VMWare数据存储区上有1 TB可用磁盘空间
• 驱动器类型:需要SSD
• RAID类型：一个RAID 10组（镜像条带）
• 最小VMware数据存储大小：1TB
• RAID 10组(4K)的最小数据存储随机读取数：60K IOPS
• RAID 10组(4K)的最小数据存储随机写入：30K IOPS

警告：私有云OVA创建驱动器分区，因此无需在VMWare中指定这些分区。

注意：有关硬件要求的详细信息，请参阅《FireAMP私有云用户指南》。

使用的组件

本文档中的信息基于下列硬件和软件版本：

• FireAMP私有云2.4.4
• FireAMP私有云3.0.1
• VMWare ESXi 5.0或更高版本

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

升级过程

本节提供有关如何从FireAMP私有云2.4.4版收集备份以及如何在FireAMP私有云3.0.1版上正确恢复备份的分步说明。 

警告：升级过程会在您的环境中造成停机。使用私有云的连接器（包括连接到虚拟私有云的网络的AMP）可能会失去与虚拟云的连接，并且可能因此功能受损。

1.更新下载和安装

确保您的FireAMP虚拟私有云2.4.4是最新的。

步骤1.导航至“管理员门户”中的“操作” — >“更新设备”。

步骤2.单击Check/Download Updates按钮（如图所示），确保您的FireAMP虚拟私有云（从何处进行备份收集）是最新的（内容和软件方面）。

步骤3.安装内容和软件更新后，更新页面会显示设备最新的信息，如图所示。

2.备份收集和关闭

步骤1.导航至“操作”->“备份”。

步骤2.在“手动备份”部分，单击“执行备份”按钮。该过程将启动备份创建。

步骤3.当流程成功完成时，将显示成功通知，如图所示。

步骤4.单击  按钮。确保备份已正确下载并保存在安全位置。

3.新版本安装

本节假设已部署用于3.0.1 FireAMP虚拟私有云的虚拟机。有关VMWare ESXi上3.0.1 OVA的虚拟机的安装过程，请参阅以下链接：在ESX Server上部署OVA文件。

注意：本文中介绍的过程对FireAMP虚拟私有云2.4.4和3.0.1使用完全相同的主机名和IP地址。在遵循本指南时，必须在收集备份后关闭FireAMP虚拟私有云2.4.4。

步骤1.为安装了3.0.1版本的新创建的虚拟机实例打开控制台终端。您可以浏览Tab、Enter和箭头键。

步骤2.导航至CONFIG_NETWORK，然后单击键盘上的Enter键，开始配置FireAMP私有云的管理IP地址。如果不想使用DHCP，请选择“否”，然后按Enter。

步骤3.输入IP地址、网络掩码和默认网关。导航至OK，如图所示。按 Enter 。

步骤4.网络配置更改需要重新启动接口。重新启动后，主控制台菜单重新显示，如图所示。这次您在URL行上看到IP地址。另请注意，系统将显示初始密码。这是在基于Web的设置中使用的一次性密码(后来称为初始密码)。

步骤5.打开Web浏览器并导航至设备的管理IP地址。FireAMP私有云最初生成自己的HTTPS证书时，您会收到证书错误。将浏览器配置为临时信任FireAMP私有云的自签名证书。

步骤6.您将看到一个屏幕来输入密码，如图所示。使用控制台的初始密码。单击“Login(登录)”。

步骤7.成功登录后，您需要更改密码。在“旧密码”字段中使用控制台的初始密码。在“新密码”字段中使用新密码两次。单击“更改密码”。

4.备份还原

步骤1.管理员门户的欢迎页面提供安装3.0.1 FireAMP虚拟云的两种方式，如图所示。

步骤2.您可以选择以下三种不同方法之一将备份文件上传到新创建的FireAMP虚拟私有云实例：

本地 — 从设备上已显示的备份文件恢复配置（必须通过SFTP或SCP将文件放在设备上）。 恢复过程开始后，文件会解压到正确的目录。因此，建议使用/data目录。

Remote — 从可远程访问的HTTP服务器上的文件恢复。

Upload — 从浏览器上载的文件恢复。仅当备份文件小于20MB时才有效。

在本例中，选择了remote选项。

注意：必须允许HTTP服务器正确连接。备份文件需要从私有云的角度进行访问。

单击Start按钮继续恢复，如图所示。

步骤3.从备份恢复过程会替换您当前的配置。设备的SSH主机密钥和管理门户密码将被替换。您可以查看有关安装的部分配置。

步骤4.备份文件复制成功后，恢复页面显示弹出消息，如图所示。单击Reconfigure Administration Portal Now按钮以完成恢复过程。

步骤5.重新配置完成后，再次显示管理门户页面，如图所示。从现在开始，要登录，您必须使用2.4.4 FireAMP虚拟私有云备份的密码。

该图显示了正确安装的大部分工作，如已完成（检查点标记）。 备份从FireAMP虚拟私有云2.4.4恢复配置后，应恢复配置。

5.证书颁发机构

FireAMP虚拟私有云版本3.0.1在系统运行方式方面引入了新功能和新行为。在开始安装之前，需要配置并完成这些配置。

第一个新组件是证书颁发机构，在早期版本中不存在。

“证书颁发机构”(Certificate Authorities)页面允许您管理服务的根证书（如果要使用自定义证书颁发机构）。如果需要，您可以下载或删除根证书。

注意：证书颁发机构受信任存储仅用于虚拟云服务（用于构建和验证正确的证书链）。 它不用于各种vPC集成，如ThreatGrid。

步骤1.导航至安装选项面板中的配置 -> 证书颁发机构部分。单击添加证书颁发机构按钮，如图所示。

步骤2.单击Add Certificate Root(如图所示)上传证书。虚拟私有云接受证书需要满足所有所列要求。

注意：在升级过程中，必须添加用于签署身份验证服务证书的根证书，如下一节所述。

步骤3.更新证书后，单击Upload按钮（如图所示）上传证书。

如果使用任何从属证书颁发机构来签署任何服务证书，请在本节中也上传这些证书。

警告：即使您为身份验证服务生成自签名证书，请确保在“证书颁发机构”部分上传该证书，然后再执行后续步骤。

6.身份验证服务

在3.0.1版本中添加且未从备份导入的第二个组件是“服务”部分下的“身份验证”。

将来版本的私有云将使用身份验证服务来处理用户身份验证请求。3.0.1版中添加了该版本，以便将来兼容。

步骤1.导航至“安装选项”面板中的“服务” — >“身份验证”部分。输入唯一Authentication Hostname，在主机名部分中指定的DNS条目必须在DNS服务器上正确配置并指向虚拟私有云控制台接口IP地址。 

步骤2.指定主机名并正确解析后，单击Replace Certificate按钮，如图所示。

注意：如果您需要证书生成方面的帮助，请访问文章：如何生成和添加安装AMP VPC 3.x Arcent所需的证书，以了解有关硬件要求的详细信息。

步骤3.单击“选择证书”按钮上传身份验证服务证书，如图所示。

步骤4.下一步是上传证书的私钥文件。要添加它，请单击“选择密钥”按钮。

步骤5.在继续下一步之前，您需要确保满足所有要求。如果用于签署身份验证服务的根证书正确放在证书颁发机构存储中，则符合突出显示要求。

警告：您只能在此阶段更改所有其他服务的主机名。安装完成后，无法更改服务的主机名。稍后，您只能更改证书。您需要确保了解此类操作的风险。如果更改连接器或面向网络设备的AMP所使用的服务的主机名，则升级完成后，这些服务可能会出现与云通信的问题。

7.安装

步骤1.完成每个部分并将其标记为有效后，即开始安装。导航至“复查后安装”部分，然后单击“开始安装”按钮，如图所示。

步骤2.管理员门户向您显示当前状态、开始日期和日志。如果遇到需要支持注意的任何错误或问题，请单击Download Output按钮收集日志（如图所示），并将其附加到TAC案例。

步骤3.安装成功后，必须重新启动设备才能完成该过程。单击Reboot按钮继续重新启动过程，如图所示。

步骤4.在重新启动过程后，您可以登录到管理员门户和控制台门户。升级过程已完成。

8.升级后检查

设备重新启动后，请确保恢复成功完成：

步骤1.检查连接器能否与新安装的虚拟设备3.0.1通信。

步骤2.确保Events、Device Trajectory和Computers对象已正确恢复并显示在控制台门户中。

步骤3.如果您有AMP for Network集成（如FMC、ESA、WSA），请确保它们能与文件处置服务器通信。

步骤4.检查任何内容/软件（操作 — >更新设备）更新，然后继续安装。

强烈建议执行测试以确保成功升级。

虚拟私有云3.0.1中的更改

1. Windows连接器版本6.1.7

私有云3.0.1随6.1.7 Windows连接器版本支持一起提供，您可以在以下链接中找到有关它的文档： 6.1.7版本说明

警告：如果您对证书进行了任何更改，请确保在升级或安装到Windows连接器版本6.1.7之前，用于私有云服务的证书在终端本身上受信任。信任需要在计算机级别，而不是用户级别。如果不满足此条件，连接器不信任私有云提供的证书，该证书使它们处于断开状态。

2.证书颁发机构和身份验证服务

3.0用户指南中详细描述了更改：私有云用户指南。

如果要使用自定义证书颁发机构，证书颁发机构允许您管理服务的根证书。如果需要，您可以下载或删除根证书。

将来版本的私有云将使用身份验证服务来处理用户身份验证请求。3.0.1版中添加了该版本，以便将来兼容。