Azure Arc: administration af hybridressourcer

De fleste organisationer arbejder i et hybridmiljø: Nogle arbejdsbelastninger kører i Azure, andre på lokale servere, og nogle hos andre cloududbydere. Administration af disse forskellige miljøer med separate værktøjer skaber driftsmæssige siloer — forskellige politikker, forskellig overvågning og forskellige adgangskontroller. Azure Arc løser dette ved at udvide Azures administrationsplan til enhver infrastruktur, så du kan administrere lokale ressourcer og ressourcer i flere clouds med den samme Azure-portal, CLI, de samme politikker og RBAC, som du bruger til Azure-native ressourcer.

Azure Arc er et sæt teknologier, der projicerer ressourcer uden for Azure ind i Azure Resource Manager (ARM), så de vises som Azure-ressourcer med ressource-id'er. I øjeblikket understøtter Arc: servere (Windows-/Linux-VM'er lokalt eller i andre clouds), Kubernetes-klynger (alle CNCF-kompatible Kubernetes-klynger), SQL Server-instanser, Azure-datatjenester (SQL Managed Instance og PostgreSQL på Arc) samt virtuelle maskiner i VMware vSphere og Azure Stack HCI.

Hvis du vil tilslutte en Windows- eller Linux-server til Arc, skal du installere Azure Connected Machine agent på serveren. Agenten registrerer maskinen hos ARM og opretholder en vedvarende udgående forbindelse til Azure (der kræves ingen indgående porte). Efter registreringen vises serveren i Azure-portalen under Azure Arc > Servere med et fuldt ARM-ressource-id. Du kan generere et interaktivt eller automatiseret tilslutningsscript fra portalen, som indeholder oplysninger om dit abonnement og din ressourcegruppe.

Når en server er Arc-aktiveret, kan du tildele Azure Policy-definitioner til den ligesom til en oprindelig Azure-VM. Du kan for eksempel kontrollere, om Log Analytics-agenten er installeret, håndhæve, at bestemte Windows-sikkerhedsbaselines anvendes, eller automatisk installere Defender for Cloud-agenten. Politiktildelinger på et administrationsgruppe- eller abonnementsomfang evaluerer automatisk alle Arc-aktiverede servere i dette omfang, så du får et samlet overblik over overholdelse på tværs af lokale miljøer og cloudmiljøer.

Arc-aktiverede servere kan sende logge og målinger til Azure Monitor ved hjælp af Azure Monitor Agent (AMA). Du opretter en Data Collection Rule (DCR), der angiver, hvilke ydeevnetællere og hændelseslogge der skal indsamles, og hvilket Log Analytics-arbejdsområde de skal sendes til. Den samme DCR kan målrettes både Arc-aktiverede servere og oprindelige Azure-VM'er, så du får en ensartet overvågningskonfiguration. Når dataene flyder, fungerer de samme KQL-forespørgsler og alarmregler, som du bruger til Azure-VM'er, også til Arc-servere.

Når du aktiverer Microsoft Defender for Servers på en Arc-aktiveret server, installeres Defender for Endpoint-agenten, og du får den samme trusselsbeskyttelse, sårbarhedsscanning og de samme sikkerhedsanbefalinger, som cloud-VM'er modtager. Det er især værdifuldt for lokale Windows Server 2012- og 2019-maskiner, der ikke kan bruge cloud-native sikkerhedsprodukter uden Arc. Sikkerhedstilstandens score i Defender for Cloud afspejler alle ressourcer — både Azure-administrerede og Arc-administrerede — så du får et samlet overblik.

Azure Arc-enabled Kubernetes tilslutter alle CNCF-kompatible Kubernetes-klynger (lokale klynger, GKE, EKS, Rancher) til Azure. Du installerer Arc-agenterne via et Helm-diagram, hvorefter klyngen vises i ARM. Fra Azure kan du implementere applikationer ved hjælp af GitOps (Flux eller Argo CD administreret af Azure), anvende Azure Policy til Kubernetes (OPA Gatekeeper) og se klyngens tilstand i Azure Monitor. Kontrolplanet kører på selve klyngen — Azure modtager kun status og telemetri, ikke fuld adgang til API-serveren.

GitOps er et implementeringsmønster, hvor den ønskede tilstand for dine Kubernetes-arbejdsbelastninger er defineret i et Git-arkiv, og en agent på klyngen løbende afstemmer klyngens tilstand, så den svarer til arkivet. Med Arc-aktiveret Kubernetes konfigurerer du en FluxConfiguration-ressource i Azure, der peger på dit Git-arkiv. Flux-operatoren på klyngen henter manifestene fra arkivet og anvender dem — det muliggør deklarativ, kontrollerbar og automatiseret implementering af applikationer på et vilkårligt antal klynger fra én enkelt Git-kilde, der fungerer som sandhedskilde.

Azure Arc-enabled SQL Server tilslutter lokale SQL Server-instanser (2012–2022) til ARM. Fordelene omfatter: Azure Extended Security Updates (ESU) uden omkostninger, når der er forbindelse til Arc (for SQL Server 2012/2014, som ikke længere har almindelig support), Microsoft Defender for SQL-trusselsregistrering, Entra ID-godkendelse til lokal SQL og Azure Monitor-integration til målinger af databaseydeevne. Arc ændrer ikke den måde, SQL Server kører på — det tilføjer kun administrationsfunktioner.

Azure Arc resource bridge er en let virtuel appliance, der installeres i et VMware vSphere- eller Azure Stack HCI-miljø. Den opretter en administrationsforbindelse, som lader dig se, starte, stoppe og ændre størrelsen på VMware-VM'er fra Azure-portalen uden at flytte dem. Det er især nyttigt for organisationer, der er begyndt på deres cloudrejse og ønsker at standardisere Azure-administrationsværktøjerne, mens VM'er fortsat kører lokalt. Du kan også anvende Arc-politikker og overvåge disse VM'er med Azure Monitor via forbindelsen til resource bridge.

Azure Connected Machine-agenten og Kubernetes Arc-tilslutning er gratis. Der opkræves betaling for bestemte værditilførende tjenester: Defender for Servers, dataindtagelse via Azure Monitor-agenten og Arc-aktiverede datatjenester (SQL Managed Instance, PostgreSQL). De eneste forudsætninger for at tilslutte en server er, at serveren har udgående HTTPS-adgang til Azure-slutpunkter (eller bruger en proxy), et understøttet operativsystem (Windows Server 2008 R2+ eller mange Linux-distributioner) samt et Azure-abonnement, hvor ressourceudbyderen Microsoft.HybridCompute er registreret.

I denne lektion har du lært, at Azure Arc udvider Azures administrationsplan til lokale servere, Kubernetes-klynger og SQL Server-instanser ved at projicere dem ind i ARM, at Azure Connected Machine agent tilslutter servere med kun udgående HTTPS-forbindelse, og at GitOps with Flux muliggør deklarativ implementering af applikationer på Arc-aktiverede Kubernetes-klynger. Dernæst undersøger vi Azure ExpressRoute og VPN Gateway til privat forbindelse mellem lokale miljøer og Azure.