Søren Eggert Lundsteen Olsen
90d37be8a5
Some checks failed
deploy community / deploy (push) Successful in 18s
deploy hub / deploy (push) Successful in 19s
CI / Build og unit tests (push) Successful in 8s
CI / MSI-installer (push) Successful in 15s
CI / Integration (mcr.microsoft.com/mssql/server:2025-latest) (push) Has been cancelled
CI / Integration (mcr.microsoft.com/mssql/server:2017-latest) (push) Has been cancelled
CI / Integration (mcr.microsoft.com/mssql/server:2019-latest) (push) Has been cancelled
CI / Integration (mcr.microsoft.com/mssql/server:2022-latest) (push) Has been cancelled
Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
166 lines
11 KiB
Markdown
166 lines
11 KiB
Markdown
# Opdateringer
|
||
|
||
SQLInsight Pro holder sig selv opdateret på to måder:
|
||
|
||
| Hvad | Indhold | Hvordan |
|
||
|---|---|---|
|
||
| **Regelpakken** | Microsofts supportdatoer og seneste CU/sikkerhedsopdatering pr. SQL Server-version | Hentes og tages i brug automatisk, uden genstart. Det er data, ikke kode. |
|
||
| **Programmet** | Agent og webbrugerflade | Tilstanden `Off`, `Notify` eller `Automatic`. Installeres af en privilegeret opdateringsopgave med backup og automatisk tilbagerulning. |
|
||
|
||
Begge kommer fra et **opdateringsfeed**: en https-adresse eller en mappe/et fildrev. Feedet behøver ikke at være betroet. Alt i det er signeret af SEOSoft (ECDSA P-256), og hver fil er låst af sin SHA-256 i det signerede manifest.
|
||
|
||
## Ændringer ved opgradering
|
||
|
||
Læs dette, før en ny version installeres. Repository-skemaet opgraderes af agenten ved første start.
|
||
|
||
### 1.4: Dynamics AX
|
||
|
||
- **Ny menu – Dynamics AX:** vises, så snart en overvåget database er genkendt som Dynamics AX, med siderne AX-databaser, Batchjob, Nummerserier, RecId og AX-brugere bag blokering, og de samme data i API v1 under `/api/v1/dynamics-ax/…` (scope `read`). Nye regler `SQLI-AX-001` … `SQLI-AX-010`. Se [dynamics-ax.md](dynamics-ax.md).
|
||
- **Ny, valgfri læseadgang:** batchjob, nummerserier og RecId kræver `SELECT` på nogle få af AX' egne systemtabeller (aldrig kundedata, aldrig mere end `SELECT`). Den gives pr. AX-database med [db/permissions/grant-dynamics-ax-read.sql](../db/permissions/grant-dynamics-ax-read.sql) (og fjernes igen med `revoke-dynamics-ax-read.sql`); den nøjagtige GRANT står under **Dynamics AX → AX-databaser**. SQLInsight kører aldrig selv scriptet.
|
||
- **Uden den GRANT ændres intet:** agenten læser ingen AX-tabeller, de nye AX-regler er *ikke målbare* med den GRANT, der skal til, og alt andet virker som i 1.3. Genkendelsen af AX og AX-brugere bag blokering bruger kun de rettigheder, `grant-least-privilege.sql` allerede giver. Læsningerne er altid `SELECT` med `TOP`, med 2 sekunders lock timeout (eller snapshot), aldrig `NOLOCK`, og kun i databaser, der er genkendt som AX **og** valgt til overvågning.
|
||
- **AX-fund til SQLInsight Hub** følger stadig tilvalget pr. database fra 1.3 (standard fra) og gælder nu også `SQLI-AX-…`.
|
||
- **Axapta 3.0/4.0 og tidszone:** de lokale batchtider omregnes med AOS'ens tidszone. Kører agenten i en anden tidszone end AOS'en, så sæt `SQLInsight:DynamicsAx:LocalTimeZone` (fx `Romance Standard Time`).
|
||
- **AX-versioner:** kun Axapta 3.0 er verificeret mod en kundes database. AX 4.0, AX 2009, AX 2012 og Dynamics 365 F&O er bygget efter Microsofts dokumenterede skema og **ikke verificeret mod kundedata** – mangler en tabel eller kolonne, er tjekket *ikke målbart* med det præcise navn i stedet for at fejle.
|
||
- **Repository:** migration 0017 (tabellerne `insight.AxBatchRuns` og `insight.AxSequenceSamples`) køres af agenten ved første start; de ryddes op efter `EventDays` og `HourlyDays` som de øvrige data.
|
||
|
||
### 1.3: Servere og databaser
|
||
|
||
- **Ændret adfærd – Dynamics AX-fund og SQLInsight Hub:** fra 1.3 sendes AX-fund (regler `COM-AX-…`) og AX-reglernes resultater **kun** til SQLInsight Hub for de databaser, hvor *AX-fund til SQLInsight Hub* er slået til under **Overvågning → Servere og databaser**. Standard er **fra** for alle databaser, også efter opgraderingen. Har I delt AX-fund med hubben i 1.2, stopper det altså ved opgraderingen, indtil I slår det til for hver AX-database. Andre fund sendes som før. Se [servere-og-databaser.md](servere-og-databaser.md#dynamics-ax-fund-og-sqlinsight-hub) og [databehandling.md](databehandling.md).
|
||
- **Servere i konfigurationsfilen virker som før:** servere under `SQLInsight:Instances` (fx `MONITOR_SERVER` fra installeren) spejles ind som *fra konfigurationsfil*, og alle deres databaser overvåges, også nye, præcis som i 1.2. Intet indsamlet data går tabt. Nye servere kan nu tilføjes i webbrugerfladen.
|
||
- **Hvem må ændre opsætningen:** `SQLInsight:Web:AdminGroups` (eller `ADMIN_GROUPS` i MSI'en). Er den tom, må den lokale gruppe Administratorer på webserveren. Se [servere-og-databaser.md](servere-og-databaser.md#hvem-må-ændre-opsætningen).
|
||
- **Overblik og alarmer:** servere på pause vises som *Sat på pause* og tæller ikke med i tal og alarmer; fjernede servere vises ikke længere i overblikket, men deres historik bevares til rapporterne. Prometheus får `sqlinsight_instance_paused`.
|
||
- **API v1:** nye endpoints under `/api/v1/monitored-instances`, `/api/v1/instance-discovery` og `/api/v1/agent-requests` og det nye scope `config:write`.
|
||
|
||
## Opsætning
|
||
|
||
I agentens `appsettings.json`:
|
||
|
||
```json
|
||
"SQLInsight": {
|
||
"Updates": {
|
||
"Feed": "https://hub.example.com/updates/",
|
||
"Channel": "stable",
|
||
"RulePacks": true,
|
||
"Application": "Notify",
|
||
"CheckInterval": "06:00:00",
|
||
"MaintenanceWindow": "02:00-05:00"
|
||
}
|
||
}
|
||
```
|
||
|
||
| Indstilling | Betydning |
|
||
|---|---|
|
||
| `Feed` | https-adresse, lokal mappe eller UNC-sti (`\\filserver\sqlinsight-feed`). Tom: ingen opdateringstjek. |
|
||
| `Channel` | `stable` (anbefalet i produktion) eller `preview` (nye regler og funktioner før alle andre). |
|
||
| `RulePacks` | Hent nyere regelpakker automatisk. Standard: til. |
|
||
| `Application` | `Off`: aldrig. `Notify`: vis i webbrugerfladen, at en ny version findes; en administrator installerer. `Automatic`: agenten henter og verificerer; opdateringsopgaven installerer i vedligeholdelsesvinduet. |
|
||
| `MaintenanceWindow` | Lokal tid for automatisk installation, fx `02:00-05:00`. Tom: når som helst. |
|
||
| `Components` | Hvad der opdateres. Standard: agenten selv. Se [Web på samme server](#web-på-samme-server). |
|
||
| `DataDirectory` | Agentens datamappe. Standard `%ProgramData%\SQLInsight` eller `/var/lib/sqlinsight`. |
|
||
|
||
Status for opdateringer, regelpakke og licens ses under **System** i webbrugerfladen.
|
||
|
||
## Installation af en ny version
|
||
|
||
### Manuelt (`Notify`)
|
||
|
||
Som administrator på agentens server:
|
||
|
||
```powershell
|
||
& "C:\Program Files\SQLInsight\Agent\SQLInsight.Agent.exe" update check
|
||
& "C:\Program Files\SQLInsight\Agent\SQLInsight.Agent.exe" update apply
|
||
```
|
||
|
||
Er SQLInsight Pro installeret med MSI'en, henter agenten den nye MSI, og opgaven installerer den med Windows Installer. Windows Installer stopper og starter tjenesterne og ruller selv tilbage ved fejl. Så passer MSI'ens viden om versionen altid, og en senere reparation eller opgradering kan ikke lægge ældre filer tilbage.
|
||
|
||
`update apply` henter pakken, verificerer den, stopper tjenesten, tager backup, kopierer de nye filer ind (uden at røre `appsettings*.json` og `web.config`), starter tjenesten og holder øje med den i et minut. Stopper den, rulles der automatisk tilbage.
|
||
|
||
### Automatisk (`Automatic`)
|
||
|
||
Agenten kører som en konto med få rettigheder og kan ikke selv udskifte programfiler. Det gør en planlagt opgave, der kører som SYSTEM/root, og som selv verificerer signatur og hash igen, før noget installeres.
|
||
|
||
Windows:
|
||
|
||
```powershell
|
||
schtasks /Create /TN "SQLInsight Update" /SC HOURLY /RU SYSTEM /RL HIGHEST `
|
||
/TR "\"C:\Program Files\SQLInsight\Agent\SQLInsight.Agent.exe\" apply-update"
|
||
```
|
||
|
||
Linux (`/etc/systemd/system/sqlinsight-update.service` og `.timer`):
|
||
|
||
```ini
|
||
[Unit]
|
||
Description=SQLInsight Pro: installér hentede opdateringer
|
||
|
||
[Service]
|
||
Type=oneshot
|
||
ExecStart=/opt/sqlinsight/agent/SQLInsight.Agent apply-update
|
||
```
|
||
|
||
```ini
|
||
[Unit]
|
||
Description=SQLInsight Pro: kig efter hentede opdateringer hver time
|
||
|
||
[Timer]
|
||
OnCalendar=hourly
|
||
RandomizedDelaySec=10m
|
||
|
||
[Install]
|
||
WantedBy=timers.target
|
||
```
|
||
|
||
```bash
|
||
sudo systemctl enable --now sqlinsight-update.timer
|
||
```
|
||
|
||
Agentens systemd-enhed skal have `StateDirectory=sqlinsight`, så den kan skrive i `/var/lib/sqlinsight`.
|
||
|
||
### Web på samme server
|
||
|
||
Skal webbrugerfladen opdateres sammen med agenten, angives begge komponenter:
|
||
|
||
```json
|
||
"Components": [
|
||
{ "Name": "Agent", "Path": "C:\\Program Files\\SQLInsight\\Agent", "Service": "SQLInsight Agent" },
|
||
{ "Name": "Web", "Path": "C:\\Program Files\\SQLInsight\\Web", "Service": "SQLInsight Web" }
|
||
]
|
||
```
|
||
|
||
Kører web i IIS, angives `"AppOffline": true` i stedet for `Service`. Så lægges `app_offline.htm` i mappen, mens filerne udskiftes.
|
||
|
||
## Uden internetadgang
|
||
|
||
`Feed` kan pege på en mappe eller et fildrev. Kopiér feed-mappen fra SEOSoft (eller fra en server med internetadgang) derhen. Signaturen kontrolleres på samme måde. Et manifest udløber efter 90 dage, så et gammelt feed ikke kan genbruges i det uendelige. Hent et nyt, inden det udløber.
|
||
|
||
## Sikkerhed
|
||
|
||
- Kun manifester signeret med en nøgle i `trusted-keys.json` (indbygget) eller `SQLInsight:Updates:TrustedKeys` accepteres.
|
||
- Hver fil (regelpakke og programpakke) er låst af størrelse og SHA-256 i manifestet. En ændret fil bliver aldrig brugt.
|
||
- Ingen nedgradering. Et manifest, der er ældre end et allerede set, afvises, og en version, der ikke er nyere end den installerede, installeres ikke.
|
||
- Opdateringsopgaven stoler ikke på agentens datamappe. Den kopierer pakken til sin egen mappe (`.sqlinsight-update` ved siden af installationen, kun skrivbar for administratorer), verificerer den der og installerer derfra.
|
||
- Den gemte regelpakke verificeres igen ved hver start. Fejler den, bruges den indbyggede.
|
||
- Den seneste backup ligger i `.sqlinsight-update\work\backup` indtil næste opdatering. Log: `.sqlinsight-update\update.log`.
|
||
|
||
## For SEOSoft: udgiv en opdatering
|
||
|
||
```bash
|
||
# Regelpakke ud fra katalogfilerne i src/SQLInsight.Rules/Lifecycle
|
||
dotnet run --project tools/SQLInsight.LicenseTool -- rulepack --version 2026.10.14 --out rulepack-2026.10.14.json
|
||
|
||
# MSI til installationer lavet med MSI'en (bygges på Linux)
|
||
installer/build-msi.sh 1.4.0
|
||
|
||
# Programpakker: én zip pr. platform med mapperne Agent/ og Web/
|
||
# Samme opsætning som MSI'en (indbygget .NET), så en opdatering ikke kræver en runtime på serveren
|
||
dotnet publish src/SQLInsight.Agent -c Release -r win-x64 --self-contained true -p:Version=1.4.0 -o pkg/win-x64/Agent
|
||
dotnet publish src/SQLInsight.Web -c Release -r win-x64 --self-contained true -p:Version=1.4.0 -o pkg/win-x64/Web
|
||
|
||
# Signér kanalens manifest (det, der ikke angives, overtages fra det eksisterende manifest)
|
||
dotnet run --project tools/SQLInsight.LicenseTool -- publish --key sqlinsight-k20260929.private.pem --kid k20260929 \
|
||
--feed feed --channel stable --rulepack rulepack-2026.10.14.json \
|
||
--release 1.4.0 --asset win-x64=sqlinsight-1.4.0-win-x64.zip --asset win-x64-msi=dist/SQLInsight-Pro-1.4.0-x64.msi \
|
||
--asset linux-x64=sqlinsight-1.4.0-linux-x64.zip \
|
||
--notes https://git.seosoft.dk/seo/sqlinsight-pro/releases
|
||
```
|
||
|
||
Udgiv først på `preview`, og flyt til `stable`, når versionen har kørt et stykke tid. Feed-mappen kan serveres af SQLInsight Hub (`SQLInsight:Hub:UpdateFeedPath`, adressen bliver `https://hub…/updates/`) eller af enhver webserver.
|