Hoe kan ik CipherTrust Manager upgraden van 2.0 naar de hogere/nieuwste versie?

CipherTrust Manager (CTM) is het centrale platform voor sleutel- en beleidsbeheer binnen het Thales CipherTrust data security platform. Het stelt bedrijven in staat beveiligingsbeleid in te stellen, gedetailleerde toegangscontroles toe te wijzen en encryptiesleutels centraal te beheren . De taken in de sleutellevenscyclus die CTM beheert, omvatten het aanmaken, roteren, vernietigen, importeren en exporteren van sleutels. CTM biedt tevens op rollen gebaseerde toegangscontrole, grondige audits en rapportages, en REST API's voor beheer en automatisering van ontwikkeling. Fysieke en virtuele CTM-varianten voldoen aan FIPS 140-2 tot niveau 3. Hardware Security Modules (HSM's) zoals Thales Luna en Luna Cloud HSM kunnen worden gebruikt om CipherTrust Manager te verankeren. Het is cruciaal voor de beveiliging om CTM op een ondersteunde versie te houden: het gebruik van een verouderde versie stelt de organisatie bloot aan kwetsbaarheden die in latere releases zijn verholpen en kan in strijd zijn met compliance-vereisten die het gebruik van actuele softwareversies voorschrijven. Thales test upgrades alleen vanuit de drie voorgaande minor-versies, waardoor het verplichte upgradepad een cruciale beperking vormt: om te upgraden van versie 2.0 naar 2.9, is het vereiste pad 2.0 naar 2.3, vervolgens 2.3 naar 2.6 en ten slotte 2.6 naar 2.9. Dit document behandelt de vereisten, de bestandsoverdracht, de upgradeprocedure in drie stappen, validatiecontroles na de upgrade, het bekende probleem met MAC-adresverwisseling en richtlijnen voor probleemoplossing. Voor de volledige officiële documentatie raadpleegt u de Thales System Upgrade Guide . Voor CTM-consultancy en -migratie raadpleegt u CipherTrust Manager.

Kort antwoord: Wat is het upgradepad van CTM 2.0 naar 2.9?

Het verplichte upgradepad van CipherTrust Manager 2.0 naar 2.9 is: 2.0 naar 2.3, vervolgens 2.3 naar 2.6 en daarna 2.6 naar 2.9. Tussenliggende versies kunnen niet worden overgeslagen. Elke stap moet worden voltooid, geverifieerd en operationeel bevonden voordat met de volgende stap kan worden begonnen. Het upgradeproces vereist: SSH-toegang tot Ksadmin; een systeemback-up met zowel het back-upbestand als de back-upsleutel gedownload; minimaal 12 GB vrije schijfruimte; het upgrade-archiefbestand voor de doelversie moet via SCP naar het apparaat worden overgebracht; en een herstart na elke upgradestap.

Pre-Benodigdheden

Voordat u met een upgrade begint, moeten de vereisten worden voltooid. Het overslaan van deze stappen kan leiden tot een mislukte upgrade of gegevensverlies. De volgende controles moeten worden uitgevoerd voordat u verdergaat:

• Zorg dat u de huidige softwareversie van CipherTrust Manager (CM) en de gewenste doelversie kent. Voorbeeld: De huidige versie is 2.0, de gewenste versie is 2.9.
• Definieer het volledige upgradepad: Voor het bovenstaande voorbeeld: 2.0 naar 2.3, vervolgens 2.3 naar 2.6, en daarna 2.6 naar 2.9. [NOTITIE: Thales test alleen upgrades van de drie voorgaande kleinere versies. Upgrades van versies buiten dit bereik zijn niet getest en werken mogelijk niet correct.
• Zorg ervoor dat u toegang hebt als Ksadmin met een SSH sleutel.
• Maak een back-up van het hele systeem en zorg ervoor dat u zowel het CM-back-upbestand als de back-upsleutel hebt gedownload. Dit kunt u doen via de CM-webinterface. De back-up is uw herstelmechanisme als de upgrade mislukt; ga niet verder zonder een geverifieerde back-up.
• Voer de volgende opdracht uit om dit te bevestigen. 12 GB vrije schijfruimte is beschikbaar (exclusief het upgradebestand): df -h
• Breng het upgradebestand over naar de CipherTrust Manager met behulp van SCP (Secure Copy Protocol) met de volgende opdracht, of via de WinSCP-applicatie (selecteer SCP als bestandsprotocol in WinSCP, niet SFTP):

scp -i ksadmin@ :.

[ OPMERKING: Upgradebestanden voor de gewenste versie kunnen worden gedownload van het Thales-supportportaal. Als u het upgradebestand niet kunt vinden, kunt u een supportticket bij Thales openen om het te verkrijgen.]

Upgrade-oplossing: stapsgewijze procedure

Zodra aan alle voorwaarden is voldaan, voert u de volgende drie stappen uit voor elke versie in het upgradepad. Herhaal dit proces voor elke tussenliggende versie voordat u verdergaat naar de volgende.

1. Log in als Ksadmin via SSH. Open een SSH-verbinding met het CipherTrust Manager-apparaat met behulp van het Ksadmin-account en uw SSH-privésleutel.
2. Voer het upgradescript uit. Voer de volgende opdracht uit om het upgradeproces te starten: sudo /opt/keysecure/ks_upgrade.sh -f <archive_file_path> Het upgradescript pakt het archiefbestand uit en past het toe, migreert de database en werkt alle serviceconfiguraties bij. Wacht tot het script is voltooid. Onderbreek het proces niet.NOTITIE: De upgrade kan ook worden uitgevoerd via een seriële consoleverbinding als Ksadmin als SSH-verbinding niet beschikbaar is.]
3. Start het apparaat opnieuw op zodra alle services actief zijn. sudo reboot Wacht tot het systeem volledig opnieuw is opgestart voordat u verdergaat met de controles na de upgrade of met de volgende upgradestap.

Validatiecontroles na de upgrade

Nadat elke upgradestap is voltooid en het apparaat opnieuw is opgestart, voert u de volgende validatiecontroles uit voordat u doorgaat naar de volgende stap of voordat u concludeert dat de upgrade is voltooid:

1. Controleer of alle services actief zijn: sudo docker ps | wc -l Het aantal regels moet overeenkomen met het verwachte aantal actieve containers voor de CTM-versie.
2. Controleer de status van de CipherTrust Manager-service: systemctl status keysecure De service moet als actief en draaiend worden weergegeven. Als de service niet draait, controleer dan de servicelogboeken voordat u verdergaat.
3. Open de CipherTrust Manager-webconsole in uw browser om te controleren of de gebruikersinterface correct laadt en het bijgewerkte versienummer weergeeft.
4. U kunt ook verbinding maken via de ksctl CLI en de versie controleren met het juiste CLI-commando.

Upgrade beslissingstabel

Huidige CTM-versie	Doel-CTM-versie	Vereist upgradepad	Aantal hoppen
2.0	2.3	2.0 tot 2.3 (direct)	1
2.0	2.6	2.0 tot 2.3, daarna 2.3 tot 2.6	2
2.0	2.9	2.0 tot 2.3, vervolgens 2.3 tot 2.6, en daarna 2.6 tot 2.9	3
2.3	2.6	2.3 tot 2.6 (direct)	1
2.3	2.9	2.3 tot 2.6, daarna 2.6 tot 2.9	2
2.6	2.9	2.6 tot 2.9 (direct)	1

Bekend probleem: MAC-adres verwisselen na upgrade van versie 2.6 en ouder.

Er is een bekend probleem in CipherTrust Manager-instanties die zijn geüpgraded van versie 2.6 en ouder, waarbij netwerkapparaatnamen na een herstart soms van MAC-adres wisselen. Dit is waargenomen bij netwerkinterfaces die beginnen met 'eth' en bij gebundelde verbindingen die zijn gemaakt vanuit netwerkinterfaces die beginnen met 'eth' . Na de herstart die volgt op de upgrade, kan de netwerkverbinding met het CTM-apparaat verloren gaan als de interfacenamen zijn verwisseld en de netwerkconfiguratie niet langer is gekoppeld aan de juiste fysieke interface.

Om dit probleem te voorkomen, configureert u voor elke netwerkinterface een aparte, benoemde verbinding voordat u de upgrade uitvoert. Dit zorgt ervoor dat de netwerkconfiguratie aan de interface is gekoppeld via de specifieke verbindingsdefinitie, in plaats van te vertrouwen op de volgorde van interfacenamen, die na een herstart kan veranderen.

Problemen oplossen

• Het upgradescript mislukt direct: Controleer of het archiefbestand correct is overgedragen en niet beschadigd is. Download het bestand opnieuw van het Thales Support-portaal en probeer de SCP-overdracht nogmaals.
• De services starten niet na een herstart: Controleer de servicelogboeken op foutmeldingen voordat u ervan uitgaat dat de upgrade is mislukt. Sommige services hebben mogelijk enkele minuten nodig om te initialiseren na een herstart na een versie-upgrade. Als services na 10 minuten nog steeds niet beschikbaar zijn, neem dan contact op met de Thales-ondersteuning.
• Webconsole niet toegankelijk na herstart: Controleer de netwerkverbinding met behulp van de bovenstaande stappen voor het verhelpen van MAC-adresverwisseling. Als de verbinding is bevestigd, maar de gebruikersinterface niet reageert, controleer dan de status van de KeySecure-service en bekijk de logboeken.
• Kan na de upgrade niet meer inloggen: Controleer of het gebruikersaccount en de inloggegevens correct zijn voor de nieuwe versie. Sommige versie-upgrades kunnen de authenticatieconfiguratie wijzigen; raadpleeg de release-opmerkingen van Thales voor de specifieke doelversie.
• Foutmelding: Onvoldoende schijfruimte: Maak schijfruimte vrij voordat u het opnieuw probeert. Het upgrade-archief en de uitgepakte bestanden vereisen meer dan 12 GB aan ruimte; zorg ervoor dat uw systeem voldoende vrije ruimte heeft.

Conclusie

Dit document beschrijft de essentiële stappen voor het upgraden van CipherTrust Manager van versie 2.0 naar hogere versies volgens het verplichte upgradepad van Thales. Het vervangt niet de standaarddocumentatie van Thales voor CipherTrust Manager. Het is een aanvulling die bedoeld is om naast die documentatie te worden gebruikt en de belangrijkste beperkingen en operationele stappen te benadrukken die gebruikers moeten volgen om een ​​succesvolle upgrade te voltooien. Upgrade altijd naar de nieuwste ondersteunde versie: het gebruik van actuele beveiligingssoftware is een best practice die de blootstelling aan kwetsbaarheden vermindert en continue ondersteuning van de leverancier garandeert. Voor CTM-consultancy, migratieplanning of Vormetric DSM naar CTM-migratie, zie CipherTrust Manager en DSM-migratieservices.

Bronnen: thalesdocs.com

Veelgestelde Vragen / FAQ

Wat is het verplichte upgradepad voor CipherTrust Manager van versie 2.0 naar 2.9?

Het verplichte upgradepad is: 2.0 naar 2.3, vervolgens 2.3 naar 2.6, en daarna 2.6 naar 2.9. Tussenliggende versies kunnen niet worden overgeslagen. Thales test upgrades alleen vanaf de drie voorgaande minor-versies; het overslaan van versies kan leiden tot een mislukte upgrade of problemen met de gegevensintegriteit.

Wat zijn de vereisten voor het upgraden van CipherTrust Manager?

De vereisten zijn: ken de huidige en de beoogde versie en definieer het volledige pad; heb SSH-toegang tot Ksadmin; maak een back-up op systeemniveau en download het back-upbestand en de back-upsleutel; controleer met `df -h` of er minimaal 12 GB vrije schijfruimte beschikbaar is; en breng het upgrade-archiefbestand via SCP over naar het apparaat voordat u met de upgrade begint.

Hoe breng ik het upgradebestand over naar CipherTrust Manager?

Gebruik SCP: scp -i pad_naar_privé_SSH_sleutel upgrade_bestandsnaam ksadmin@ip:. Op Windows kan WinSCP worden gebruikt; selecteer SCP als bestandsprotocol, niet SFTP. Upgradebestanden voor de betreffende versie zijn beschikbaar op het Thales Support-portaal.

Welke controles na de upgrade bevestigen dat de upgrade succesvol is verlopen?

Voer de volgende stappen uit: (1) sudo docker ps | wc -l om te controleren of alle containers actief zijn; (2) systemctl status keysecure om te controleren of de CTM-service actief is; (3) open de webconsole om te controleren of de gebruikersinterface laadt en het nieuwe versienummer weergeeft; (4) maak optioneel verbinding via de ksctl CLI om de versie te verifiëren.

Wat is het bekende probleem met het verwisselen van MAC-adressen bij upgrades van versie 2.6 en eerder?

Bij een upgrade van CTM 2.6 en eerder kunnen de MAC-adressen van netwerkinterfacenamen na een herstart verwisseld worden, met name voor eth-interfaces en gebundelde verbindingen. Dit kan leiden tot verlies van netwerkverbinding na de herstart na de upgrade. De oplossing hiervoor is om voor elke netwerkinterface een aparte, benoemde verbinding te configureren voordat de upgrade wordt uitgevoerd.