Hur uppgraderar man CipherTrust Manager från 2.0 till den senare/senaste versionen?

CipherTrust Manager (CTM) är den centrala plattformen för nyckel- och policyhantering i Thales CipherTrust-datasäkerhetsplattformen. Den gör det möjligt för företag att konfigurera säkerhetspolicyer, tilldela detaljerade åtkomstkontroller och centralt hantera krypteringsnycklar . De viktigaste livscykeluppgifterna som CTM hanterar inkluderar skapande, rotation, förstörelse, import och export. CTM tillhandahåller också rollbaserad åtkomstkontroll, grundlig granskning och rapportering samt REST API:er för hanterings- och utvecklingsautomation. Fysiska och virtuella CTM-formfaktorer är FIPS 140-2-kompatibla upp till nivå 3. Hårdvarusäkerhetsmoduler (HSM) som Thales Luna och Luna Cloud HSM kan användas för att förankra CipherTrust Manager. Att hålla CTM på en version som stöds är avgörande för säkerheten: att köra en föråldrad version exponerar organisationen för sårbarheter som har patchats i efterföljande versioner och kan bryta mot efterlevnadskrav som föreskriver nuvarande programvaruversioner. Thales testar endast uppgraderingar från de tre tidigare mindre versionerna, vilket gör den obligatoriska uppgraderingsvägen till en kritisk begränsning: för att uppgradera från version 2.0 till 2.9 är den obligatoriska sökvägen 2.0 till 2.3, sedan 2.3 till 2.6, sedan 2.6 till 2.9. Detta dokument täcker förutsättningarna, filöverföringssteget, uppgraderingsproceduren i tre steg, valideringskontroller efter uppgradering, det kända problemet med MAC-adressbyte och felsökningsvägledning. För fullständig officiell dokumentation, se Thales System Upgrade Guide . För CTM-konsultation och migrering, se CipherTrust Manager.

Snabbt svar: Vad är uppgraderingsvägen från CTM 2.0 till 2.9?

Den obligatoriska uppgraderingsvägen från CipherTrust Manager 2.0 till 2.9 är: 2.0 till 2.3, sedan 2.3 till 2.6, sedan 2.6 till 2.9. Du kan inte hoppa över mellanliggande versioner. Varje hopp måste slutföras, verifieras och bekräftas fungerande innan nästa påbörjas. Uppgraderingsprocessen kräver: Ksadmin SSH-åtkomst; en säkerhetskopia på systemnivå med både säkerhetskopiafil och säkerhetskopinyckel nedladdade; minst 12 GB ledigt diskutrymme; uppgraderingsarkivfilen för målversionen överförd till enheten via SCP; och en omstart i slutet av varje uppgraderingshopp.

Förutsättningar

Förutsättningarna måste vara uppfyllda innan någon uppgradering påbörjas. Om du hoppar över dessa steg riskerar du att uppgraderingen misslyckas eller att data förloras. Följande kontroller måste slutföras innan du fortsätter:

• Ta reda på din nuvarande programvaruversion av CipherTrust Manager (CM) och önskad målversion. Exempel: Nuvarande version är 2.0, önskad version är 2.9.
• Definiera den fullständiga uppgraderingsvägen: För exemplet ovan: 2.0 till 2.3, sedan 2.3 till 2.6, sedan 2.6 till 2.9. [OBS: Thales testar endast uppgraderingar från de tre tidigare mindre versionerna. Uppgraderingar från versioner utanför detta intervall har inte testats och fungerar eventuellt inte korrekt.
• Se till att du har åtkomst som Ksadmin med en SSH nyckel.
• Ta en säkerhetskopia på systemnivå och se till att du har laddat ner både CM-säkerhetskopifilen och säkerhetskopieringsnyckeln. Detta kan göras via CM:s webbgränssnitt. Säkerhetskopian är din återställningsmekanism om uppgraderingen misslyckas; fortsätt inte utan en verifierad säkerhetskopia.
• Kör följande kommando för att bekräfta åtminstone 12 GB ledigt diskutrymme är tillgänglig (exklusive uppgraderingsfilen): df -h
• Överför uppgraderingsfilen till CipherTrust Manager med hjälp av SCP (Secure Copy Protocol) med följande kommando, eller via WinSCP-applikationen (välj SCP som filprotokoll i WinSCP, inte SFTP):

scp -i ksadmin@ :.

[ OBS! Uppgraderingsfiler kan laddas ner från Thales supportportal för önskad version. Om du inte hittar uppgraderingsfilen kan du öppna ett supportärende hos Thales för att få tag på den.]

Lösning för uppgradering: Steg-för-steg-procedur

När alla förutsättningar är uppfyllda, utför följande tre steg för varje versionshopp i uppgraderingsvägen. Upprepa denna process för varje mellanliggande version innan du fortsätter till nästa.

1. Logga in som Ksadmin via SSH. Öppna en SSH-anslutning till CipherTrust Manager-enheten med hjälp av Ksadmin-kontot och din privata SSH-nyckel.
2. Kör uppgraderingsskriptet. Kör följande kommando för att starta uppgraderingsprocessen: sudo /opt/keysecure/ks_upgrade.sh -f <archive_file_path> Uppgraderingsskriptet extraherar och tillämpar arkivfilen, migrerar databasen och uppdaterar alla tjänstkonfigurationer. Vänta tills skriptet är klart. Avbryt inte processen.OBS: Uppgraderingen kan också utföras via seriell konsolanslutning som Ksadmin om SSH-anslutning inte är tillgänglig.
3. Starta om apparaten när alla tjänster är igång. sudo reboot Låt systemet slutföra omstarten innan du fortsätter med kontroller efter uppgraderingen eller till nästa uppgraderingshopp.

Valideringskontroller efter uppgradering

Efter att varje uppgraderingshopp är klart och apparaten har startats om, kör följande valideringskontroller innan du fortsätter till nästa hopp eller drar slutsatsen att uppgraderingen är klar:

1. Kontrollera att alla tjänster körs: sudo docker ps | wc -l Radantalet bör återspegla det förväntade antalet aktiva containrar för CTM-versionen.
2. Verifiera statusen för CipherTrust Manager-tjänsten: systemctl status nyckelsäkra Tjänsten bör visas som aktiv och körs. Om tjänsten inte körs, granska tjänstloggarna innan du fortsätter.
3. Gå till CipherTrust Manager-webbkonsolen i din webbläsare för att bekräfta att användargränssnittet laddas korrekt och visar det uppdaterade versionsnumret.
4. Alternativt kan du ansluta med ksctl CLI och verifiera versionen med lämpligt CLI-kommando.

Uppgraderingsbeslutstabell

Nuvarande CTM-version	Target CTM-version	Nödvändig uppgraderingsväg	Antal humle
2.0	2.3	2.0 till 2.3 (direkt)	1
2.0	2.6	2.0 till 2.3, sedan 2.3 till 2.6	2
2.0	2.9	2.0 till 2.3, sedan 2.3 till 2.6, sedan 2.6 till 2.9	3
2.3	2.6	2.3 till 2.6 (direkt)	1
2.3	2.9	2.3 till 2.6, sedan 2.6 till 2.9	2
2.6	2.9	2.6 till 2.9 (direkt)	1

Känt problem: MAC-adressbyte efter uppgradering från 2.6 och tidigare

Det finns ett känt problem i CipherTrust Manager-instanser som uppgraderats från version 2.6 och tidigare där nätverksenhetsnamn ibland byter MAC-adresser efter omstart. Detta har observerats för nätverksgränssnitt som börjar med eth och bundna anslutningar som skapats från nätverksgränssnitt som börjar med eth . Efter omstarten som följer uppgraderingen kan nätverksanslutningen till CTM-enheten gå förlorad om gränssnittsnamnen har bytts ut och nätverkskonfigurationen inte längre är bunden till rätt fysiska gränssnitt.

För att undvika detta problem, konfigurera en dedikerad namngiven anslutning för varje nätverksgränssnitt innan du utför uppgraderingen. Detta säkerställer att nätverkskonfigurationen är bunden till gränssnittet genom dess specifika anslutningsdefinition snarare än att förlita sig på gränssnittsnamnordningen, vilken kan ändras efter omstarten.

Felsökning

• Uppgraderingsskriptet misslyckas omedelbart: Kontrollera att arkivfilen överfördes korrekt och inte är skadad. Ladda ner den igen från Thales supportportal och försök att överföra SCP igen.
• Tjänsterna startar inte efter omstart: Kontrollera serviceloggarna för felmeddelanden innan du antar att uppgraderingen misslyckades. Vissa tjänster kan ta flera minuter att initiera efter en omstart efter en versionsuppgradering. Om tjänsterna fortfarande är nere efter 10 minuter, kontakta Thales support.
• Webbkonsolen är oåtkomlig efter omstart: Verifiera nätverksanslutningen med hjälp av stegen för att minska MAC-adressbytet ovan. Om anslutningen bekräftas men användargränssnittet inte svarar, kontrollera statusen för nyckelsäkra tjänster och granska loggarna.
• Kan inte logga in efter uppgradering: Kontrollera att användarkontot och inloggningsuppgifterna är korrekta för den nya versionen. Vissa versionsuppgraderingar kan ändra autentiseringskonfigurationen; se Thales-uppgraderingens versionsinformation för den specifika målversionen.
• Felmeddelande om otillräckligt diskutrymme: Frigör diskutrymme innan du försöker igen. Uppgraderingsarkivet och de extraherade filerna kräver utrymme utöver tröskelvärdet på 12 GB. Se till att systemet har ytterligare utrymme utöver minimum.

Slutsats

Detta dokument täcker de viktigaste stegen för att uppgradera CipherTrust Manager från version 2.0 till högre versioner efter den obligatoriska Thales-uppgraderingsvägen. Det ersätter inte Thales standarddokumentation för CipherTrust Manager. Det är ett tillägg som är utformat för att användas tillsammans med den dokumentationen för att belysa de viktigaste begränsningarna och operativa stegen som utövare behöver för att slutföra en lyckad uppgradering. Uppgradera alltid till den senaste versionen som stöds: att köra aktuell säkerhetsprogramvara är en god praxis som minskar exponeringen för sårbarheter och säkerställer fortsatt leverantörssupport. För CTM-konsultation, migreringsplanering eller migrering från Vormetric DSM till CTM, se CipherTrust Manager och DSM Migration Services.

Källor: thalesdocs.com

Vanliga frågor om partihandel med mat och dryck

Vilken är den obligatoriska uppgraderingsvägen för CipherTrust Manager från 2.0 till 2.9?

Den obligatoriska sökvägen är: 2.0 till 2.3, sedan 2.3 till 2.6, sedan 2.6 till 2.9. Du kan inte hoppa över mellanversioner. Thales testar endast uppgraderingar från de tre föregående mindre versionerna; att hoppa över versioner riskerar att uppgraderingen misslyckas eller att dataintegriteten blir dålig.

Vilka är förutsättningarna för att uppgradera CipherTrust Manager?

Förutsättningar är: känna till aktuell version och målversion och definiera den fullständiga sökvägen; ha Ksadmin SSH-åtkomst; ta en säkerhetskopia på systemnivå med säkerhetskopian och säkerhetskopianyckeln nedladdade; verifiera minst 12 GB ledigt diskutrymme med df -h; och överför uppgraderingsarkivfilen till enheten via SCP innan uppgraderingen påbörjas.

Hur överför man uppgraderingsfilen till CipherTrust Manager?

Använd SCP: scp -i path_to_private_SSH_key upgrade_file_name ksadmin@ip:. I Windows kan WinSCP användas; välj SCP som filprotokoll, inte SFTP. Uppgraderingsfiler finns tillgängliga från Thales supportportal för målversionen.

Vilka kontroller efter uppgraderingen bekräftar att uppgraderingen lyckades?

Kör: (1) sudo docker ps | wc -l för att verifiera att alla containrar körs; (2) systemctl status keysecure för att verifiera att CTM-tjänsten är aktiv; (3) gå till webbkonsolen för att bekräfta att användargränssnittet laddas och visar det nya versionsnumret; (4) anslut eventuellt via ksctl CLI för att verifiera versionen.

Vad är det kända problemet med MAC-adressbyte i uppgraderingar från 2.6 och tidigare?

Uppgradering från CTM 2.6 och tidigare kan orsaka att nätverksgränssnittsnamn byter MAC-adresser efter omstart, särskilt för ETH-gränssnitt och bundna anslutningar. Detta kan orsaka förlust av nätverksanslutning efter omstarten efter uppgraderingen. Lösningen är att konfigurera en dedikerad namngiven anslutning för varje nätverksgränssnitt innan uppgraderingen utförs.