EMS 的基本维护

FortiClient EMS 的基本维护目标，是让管理平台持续可用、数据可恢复、终端状态可信，并使证书、许可、策略和外部集成在发生异常前得到处理。本章面向已经投入运行的 EMS，提供持续监控、周期维护、变更控制和故障响应的统一方法。

重要

EMS 7.2、7.4 和 8.0 的服务器平台、数据库、服务名称、HA 架构、菜单和升级方式存在明显差异。本文给出通用运维框架；命令、路径、端口和操作步骤必须以实际完整版本、build、部署方式和节点角色为准。

1. 维护范围和责任

基本维护不只是确认网页能够登录，还应覆盖以下对象：

领域	维护对象	主要目标
平台	EMS 节点、Web 服务、后台 Worker、负载均衡	服务可用且节点角色正确
数据	PostgreSQL、连接池、缓存、备份目标	数据可访问、容量充足且能够恢复
终端	注册、在线、许可、分组、策略和客户端版本	终端状态可信，配置按预期生效
安全	管理员、角色、MFA、证书、密钥和访问来源	保持最小权限和可信访问
集成	FortiGate、目录、SMTP、日志和安全平台	同步正常，故障能够告警
生命周期	EMS、FortiClient、数据库和操作系统版本	位于支持范围并具备升级计划
运维流程	日志、告警、变更、事件、恢复和交接记录	操作可追溯、异常可升级、结果可验证

应为 EMS 平台、数据库、网络、目录、终端和安全策略分别指定负责人。告警必须有明确接收人和升级路径，不能只依靠管理员偶尔登录查看。

2. 建立运行基线

首次接管平台或重大变更完成后，应记录一份基线。后续巡检先与基线比较，再判断是否异常。

平台基线

• EMS 完整版本、build、序列号、许可类型和到期时间。
• 部署模式：单机、VM、EMS HA、远程数据库或 FortiClient Cloud。
• 节点名称、角色、IP、FQDN、操作系统和虚拟机规格。
• 数据库位置、版本、端口、主备角色和备份方式。
• 负载均衡、NAT、DNS、NTP、代理和防火墙路径。
• 正常状态下的 EMS 服务、容器、监听端口和启动方式。

业务基线

• 许可总量、已用席位、受管终端总量和并发在线规模。
• Windows、macOS、Linux 和 FortiClient 版本分布。
• 终端组、Endpoint Policy、Endpoint Profile 和安装包清单。
• FortiGate Connector、AD/LDAP、SAML、SMTP、Syslog/FortiAnalyzer 和 Sandbox 集成。
• 正常时段的 CPU、内存、磁盘、数据库增长、任务量和终端在线率。

恢复基线

• 最近一次成功备份的位置、时间、大小、版本和校验结果。
• 备份密码、证书私钥和应急账户的受控保管位置。
• 已验证的恢复步骤、目标 RPO/RTO 和最近一次演练日期。
• 对应版本的安装介质、hotfix、校验值和恢复所需网络配置。

基线文档不得直接保存真实密码、私钥或完整访问令牌，只记录其受控存放位置和负责人。

3. 维护周期

维护频率应根据终端规模、SLA、日志量和合规要求调整。下表可作为最低起点。

周期	主要工作
实时 / 自动监控	服务存活、HA/数据库状态、磁盘、备份结果、关键告警、证书和许可到期
每周	人工复核 Dashboard、服务、资源、备份、集成、终端同步、部署任务和日志趋势
每月	复核容量、许可、客户端版本、管理员权限、临时例外、安装包和支持公告
每季度	执行恢复抽测、HA/故障演练、证书与密钥复核、RPO/RTO 和容量预测
每年或按制度	完整灾备演练、运维权限审计、架构和生命周期评审
变更前后	变更前备份与基线；变更后验证平台、终端、策略、日志和集成

4. 自动监控与告警

不要求管理员每天逐项手工登录检查。需要及时发现的问题应由 EMS 告警、基础设施监控、数据库监控或外部日志平台持续检测，并自动通知责任人。

自动监控至少覆盖：

• EMS、数据库、负载均衡和 HA 节点的存活及角色变化。
• CPU、内存、swap、磁盘、inode、数据库连接和复制状态。
• 备份任务结果、最近成功时间、文件异常变化和异地复制状态。
• 许可、证书、支持合同、服务账户和密钥的到期时间。
• 终端在线率、注册失败、授权失败和策略同步失败的异常变化。
• FortiGate Connector、AD/LDAP、SAML、SMTP、外部日志和其他关键集成的连续失败。
• EMS 服务异常退出、重复重启、数据库连接失败和任务队列停滞。

每项告警应定义严重级别、持续时间、通知对象、响应时限、升级路径和处理手册。瞬时波动可以设置合理的等待或合并窗口，但备份失败、磁盘接近耗尽、证书即将到期和服务不可用不应依赖每周人工巡检才被发现。

自动告警本身也需要维护。应通过每周结果复核和定期测试确认告警仍能产生、传递并被接收。

5. 每周维护

5.1 平台、服务和资源

进入 EMS Dashboard，人工复核：

• 版本、build、运行时间和部署模式符合基线。
• 节点、数据库及 HA 主备角色没有未解释的变化。
• 受管终端、在线率、异常终端和告警数量没有异常趋势。
• 自动监控记录与 EMS 页面状态一致，没有监控盲区或长期未处理告警。

EMS 7.4/8.0 Linux 环境可使用以下只读命令复核服务和资源：

sudo /opt/forticlientems/bin/emscli service get --all --describe
systemctl --failed
journalctl -p warning --since '7 days ago' --no-pager
uptime
free -h
df -hT
df -ih

检查 CPU、负载、swap、OOM、服务重启、系统盘、数据库盘、日志盘、备份目标和 inode 是否偏离基线，并复核数据库连接、长事务、锁、复制及容器角色。

不要因为某个服务显示 inactive 就立即启动全部服务。HA 备用节点、未启用功能和按需 Worker 可能具有不同预期状态。参见 EMS 进程说明。

5.2 备份和关键集成

按周汇总计划备份结果，确认：

• 每个计划周期都有成功备份，没有被失败后的下一次成功掩盖。
• 文件大小与近期基线相符，没有为零或异常缩小。
• 备份已复制到独立故障域，失败告警均有处置记录。
• 备份密码和恢复所需权限仍有明确的受控保管位置。

同时复核 FortiGate Connector、AD/LDAP、SAML、SMTP 和日志平台的连接状态、最近成功时间和连续失败记录。多个集成同时异常时，优先检查 DNS、NTP、证书、代理和公共网络路径。

“任务成功”不等于“能够恢复”。实际恢复验证仍在每季度和重大变更前执行。

5.3 终端健康

按平台、分组和客户端版本查看：

• 新注册、长期离线、未授权和重复终端。
• 长期没有策略同步或 Telemetry 的终端。
• 进入错误分组、命中异常策略或配置不一致的终端。
• 安装、升级、扫描、修复和诊断任务失败的终端。
• FortiClient 版本过旧、签名过期或安全功能状态异常的终端。

删除终端记录前，应确认设备是否已退役、是否会重新注册、是否仍占用许可，以及删除是否影响调查或审计数据。

5.4 策略和部署任务

• 检查 Endpoint Policy 优先级和匹配范围是否发生意外变化。
• 复核临时 Profile、测试组和例外规则是否超过到期时间。
• 检查批量部署任务是否仍在重试、排队或等待用户操作。
• 验证新安装包的版本、架构、组件、EMS FQDN 和签名。
• 对可能阻断业务的 Network Lockdown、强制 VPN、Web Filter 或安全策略保留独立恢复路径。

5.5 日志和错误趋势

不要只处理最高级别的一条日志。按模块和时间查看重复错误、增长趋势和第一处异常，重点关注：

• 服务频繁重启、数据库连接失败和任务堆积。
• 目录同步、FortiGate 通知、安装包下载和邮件发送失败。
• 管理员登录失败、权限变化和非计划配置修改。
• 终端大面积上下线、IP 变化或策略同步失败。

日志级别、保留和外部发送方式参见 EMS 日志设置和查看。

6. 每月维护

6.1 容量与增长

记录并比较至少最近三个月的趋势：

指标	需要回答的问题
终端数量	是否接近许可或当前架构容量，增长速度是否改变
数据库大小	增长来自终端、事件、清单还是保留期，是否有足够维护空间
磁盘使用	按当前速度距离告警和耗尽还有多长时间
日志与事件	保留期是否满足审计要求，是否导致不必要的数据膨胀
安装包和导出文件	是否存在过期版本、重复文件或无人负责的诊断包
任务与连接	峰值是否逐月上升，是否需要扩容或调整维护窗口

清理数据必须使用产品支持的保留或删除机制。不要直接删除数据库文件、事务日志或 EMS 安装目录中的未知文件。

6.2 许可和版本

• 记录许可总量、已用席位、到期时间、续期负责人和采购提前期。
• 查看 EMS、FortiClient、操作系统和数据库的支持生命周期。
• 核对新版本 Release Notes、已知问题、已解决问题和安全公告。
• 使用 Compatibility Tool 验证 EMS、FortiClient、FortiOS 和集成产品组合。
• 使用 Upgrade Path Tool 验证升级路径，不假设可以跨多个补丁直接升级。

发现新版本不代表应立即升级。应先判断是否修复当前风险、是否引入兼容性变化，以及是否已经完成测试和回退准备。

6.3 管理员和外部账户

• 禁用或删除离职、调岗和长期未使用的管理员。
• 检查角色是否仍符合最小权限，避免共享超级管理员账户。
• 测试 MFA、可信主机和独立应急账户。
• 复核目录、SMTP、数据库、API 和集成账户的密码轮换计划。
• 确认失败登录和高权限操作能够被记录和告警。

管理员操作参见 管理员账号和角色的管理。

7. 每季度维护

7.1 备份恢复抽测

在隔离环境中验证：

1. 备份文件能够读取，密码可用。
2. 目标 EMS 版本和部署方式支持该备份。
3. 数据库能够完成恢复并重新加载。
4. 管理员可以登录，终端、分组、Profile 和 Policy 数据完整。
5. 许可、证书和外部集成可按恢复方案重新建立。
6. 实际恢复时间和数据恢复点满足 RTO/RPO。

详细步骤参见 EMS 的备份和还原。

7.2 证书和密钥

建立至少覆盖未来 120 天的到期清单，包括：

• EMS 管理入口证书。
• Endpoint Control / Telemetry 相关证书。
• EMS ZTNA CA 和终端证书。
• FortiGate Connector、SAML、LDAPS、SMTP 和外部 API 证书。
• 备份加密密码、API 密钥和服务账户凭据。

更换证书前先确认名称、用途、私钥、完整链和信任范围，并在测试终端验证。证书管理参见 证书设置。

7.3 HA 和灾备演练

按设计验证：

• EMS 节点故障后的入口、会话和终端连接行为。
• 数据库主备角色、复制状态、延迟和故障切换。
• 负载均衡健康检查是否能排除故障节点。
• 站点故障后 DNS、证书、网络和管理入口的恢复步骤。
• 回切过程、责任人、停止条件和实际耗时。

演练不能只观察节点状态。还应使用代表性终端验证注册、策略同步、标签、日志和 FortiGate 集成。

8. 日志、事件和告警维护

日志保留

在 System Settings > Logs 中设置运行日志、告警和事件的保留周期。保留时间应同时满足审计要求、数据库容量和外部归档能力。

临时启用 Debug 或更详细级别时：

1. 记录启用时间、对象和负责人。
2. 观察磁盘和数据库增长。
3. 完成复现后立即恢复日常级别。
4. 将诊断包通过受控渠道传输并按制度删除。

告警有效性

至少为以下情况建立告警或监控：

• EMS、数据库或 HA 状态异常。
• 系统盘、数据盘和备份目标容量不足。
• 备份失败或超过允许时间没有新备份。
• 证书、许可和支持合同临近到期。
• FortiGate、目录、SMTP、日志平台等集成持续失败。
• 终端在线率、授权失败或策略同步失败出现显著变化。

告警配置参见 EMS 的告警设置。

9. 备份和数据保护

需要保护的对象

对象	维护要求
EMS 数据库	使用受支持方式定期备份，记录 EMS 版本、build、时间、密码和校验结果
证书与私钥	与数据库备份分开保管，限制访问并记录到期时间
安装介质与 Hotfix	保存与生产版本一致的 EMS、数据库和 FortiClient 介质及校验值
网络与平台配置	保存 FQDN、DNS、NAT、防火墙、负载均衡、代理和时间源配置
运维台账	保存管理员、集成账户、策略、恢复流程和负责人；敏感值放入密钥库

备份原则

• 至少保留一份位于独立故障域的备份。
• 备份密码和备份文件分开保管。
• 备份保留数量同时覆盖日常误操作和较晚发现的数据损坏。
• 快照只能作为辅助恢复手段，不能替代受支持的数据库备份。
• HA 不能防止误删除、逻辑损坏或恶意修改，因此不能替代备份。

EMS 7.4.5 起的部分部署支持在 EMS 中配置计划数据库备份；是否可用、保存位置和跨部署恢复能力应以实际补丁版本文档为准。

10. 证书、许可与账户维护

对象	检查频率	维护动作
EMS HTTPS 证书	持续自动、每月人工	监控到期，验证 FQDN 和完整链，提前安排轮换
ZTNA / Endpoint 证书	每月、变更前	检查 CA、签发、同步和终端更新行为
EMS 许可	持续自动、每月人工	监控席位和到期，处理无效或退役终端，提前续期
管理员账户	每月、人员变更时	具名账户、最小权限、MFA、可信来源和应急账户测试
外部服务账户	每月、轮换前后	确认权限、到期、密码或密钥轮换及集成恢复

不要在 EMS 截图、日志、工单或普通文档中保存密码、私钥和完整令牌。

11. 变更管理

以下操作都应作为正式变更：

• EMS、数据库、操作系统、FortiClient 或 hotfix 升级。
• Endpoint Policy、Profile、安装包和大范围分组规则调整。
• 证书、FQDN、IP、端口、DNS、NAT、负载均衡或代理变更。
• 目录、SAML、FortiGate、SMTP、日志和 Sandbox 集成变更。
• 数据保留、备份、HA、数据库参数或主机资源变更。

变更前

• 明确业务目标、影响范围、负责人、窗口和停止条件。
• 核对版本兼容性、Release Notes、已知问题和升级路径。
• 创建并验证受支持的备份，保存当前版本和服务基线。
• 在测试环境或代表性测试组验证。
• 准备回退方案；不要把“直接降级”当作默认回退。

变更中

• 一次只执行一个可验证阶段，记录准确时间和操作结果。
• 持续观察服务、数据库、磁盘、终端在线率和关键业务。
• 触发停止条件时暂停，不在原因不明时连续追加修改。

变更后

• 验证管理登录、数据库、许可、备份、Telemetry、策略和集成。
• 检查代表性终端的配置、VPN/ZTNA 和安全功能。
• 保留观察期并记录遗留问题，再关闭变更。

12. 升级与 Hotfix 维护

升级前必须分别确认：

• EMS 源版本到目标版本的受支持路径。
• 服务器操作系统、数据库和 CPU 架构要求。
• FortiClient、FortiOS、FortiAnalyzer、FortiSandbox 和身份平台兼容性。
• HA、VM 镜像、Docker 或远程数据库的专用升级步骤。
• 是否存在必须先安装的 hotfix 或中间版本。
• 失败后的恢复方式和预计停机时间。

相关操作参见：

• EMS 7.2 SA 升级
• EMS 7.4 / 8.0 SA 升级
• EMS VM 镜像升级
• EMS 添加 Hotfix 补丁

升级 EMS 不等于必须同时升级全部 FortiClient。应在兼容范围内为服务端和终端分别制定分批计划。

13. 故障响应

影响分级

级别	示例	初始动作
紧急	EMS 全部不可用、数据库损坏、大量终端失联、错误策略导致业务中断	冻结非必要变更，保存现场，启动应急与厂商升级路径
高	单节点或关键集成故障、备份连续失败、证书即将过期	分配负责人和恢复时限，准备切换或维护窗口
中	部分终端、部署任务或非关键集成异常	限定影响范围，按模块排查并安排修复
低	单次瞬时告警、界面显示或文档问题	记录、观察趋势并纳入常规维护

标准流程

确认影响范围和开始时间
        ↓
停止无关变更并保存现场
        ↓
检查网络、证书、服务、数据库、许可和策略
        ↓
按时间窗口采集 EMS、数据库、FortiGate 和终端日志
        ↓
在可恢复前提下执行一个最小变更
        ↓
验证平台、终端、策略、集成和业务
        ↓
记录根因、恢复操作和预防措施

日志和采集方法参见 EMS 日志和进程及 EMS 的信息收集。

14. 巡检记录模板

每次巡检至少保留以下信息：

字段	记录内容
时间和人员	巡检开始/结束时间、执行人和复核人
平台身份	EMS 版本、build、节点、角色和数据库方式
服务状态	异常服务、重启、HA 和数据库状态
资源状态	CPU、内存、磁盘、inode、数据库和备份空间
终端状态	总数、在线、离线、未授权、不同步和版本分布
备份	最近成功时间、位置、大小、校验和恢复抽测结果
安全对象	许可、证书、管理员和外部账户到期情况
集成	FortiGate、目录、SMTP、日志和其他连接状态
异常与工单	现象、影响、负责人、优先级、下一步和截止时间
变更	自上次巡检以来的变更、验证结果和回退状态

巡检结论应区分“正常”“观察”“需要处理”和“紧急升级”，不能只记录一组截图。

15. 快速检查清单

每周

• EMS、数据库和 HA 状态已与运行基线核对。
• CPU、内存、swap、磁盘和 inode 趋势已复核。
• 本周计划备份完整成功，并已复制到独立位置。
• 自动监控和通知链路正常，未处理的关键告警已有负责人。
• FortiGate、目录、SMTP、日志等关键集成状态已复核。
• 终端在线率、注册和策略同步没有未解释的大范围变化。
• 长期离线、未授权、错误分组和不同步终端已复核。
• 部署、升级、扫描和目录同步失败任务已处理。
• 重复错误、服务重启和数据库增长趋势已检查。
• 临时策略、测试对象和例外仍然有效且未过期。

每月

• 许可、容量和版本趋势已更新。
• 管理员、角色和外部账户已复核。
• 安装包、旧版本和无用导出文件已按流程处理。
• Release Notes、安全公告、生命周期和升级路径已检查。

每季度

• 数据库备份恢复抽测成功。
• HA 或故障恢复演练已完成并记录。
• 未来 120 天证书、许可和密钥到期情况已处理。
• RPO/RTO、容量和支持联系人仍符合业务要求。

更新历史

Ver	Description	Author	Rev	Date
2.1	Eliminate daily manual inspections and integrate inspection items into automated monitoring and other maintenance cycles.	ysheng	tanga	2026.10.18
2.0	Rewrite as a manual covering daily inspections, periodic maintenance, changes, and incident response for the EMS.	ysheng	tanga	2026.10.18
1.0	First Complete	ysheng	tanga	2026.09.17
0.1	Draft Version	-	-	2026.08.04