Azure Arc : gestion des ressources hybrides

La plupart des organisations fonctionnent dans un environnement hybride : certaines charges de travail s’exécutent dans Azure, d’autres sur des serveurs locaux, et d’autres encore chez des fournisseurs cloud différents. La gestion de ces environnements disparates avec des outils distincts crée des silos opérationnels — des stratégies, une supervision et des contrôles d’accès différents. Azure Arc résout ce problème en étendant le plan de gestion Azure à toute infrastructure, ce qui vous permet de gérer les ressources locales et multicloud à l’aide du même portail Azure, de la même interface CLI, des mêmes stratégies et du même RBAC que pour les ressources natives Azure.

Azure Arc est un ensemble de technologies qui projette les ressources qui ne sont pas Azure dans Azure Resource Manager (ARM), afin qu’elles apparaissent comme des ressources Azure dotées d’identifiants de ressource. Actuellement, Arc prend en charge : les serveurs (machines virtuelles Windows/Linux locales ou hébergées dans d’autres clouds), les clusters Kubernetes (tout Kubernetes conforme à la CNCF), les instances de SQL Server, les services de données Azure (SQL Managed Instance et PostgreSQL sur Arc), ainsi que les machines virtuelles VMware vSphere et Azure Stack HCI.

Pour intégrer un serveur Windows ou Linux à Arc, vous installez l’agent Azure Connected Machine sur le serveur. L’agent enregistre la machine auprès d’ARM et maintient une connexion sortante persistante vers Azure (aucun port entrant n’est requis). Après l’enregistrement, le serveur apparaît dans le portail Azure sous Azure Arc > Serveurs, avec un identifiant de ressource ARM complet. Vous pouvez générer depuis le portail un script d’intégration interactif ou automatisé contenant les détails de votre abonnement et de votre groupe de ressources.

Une fois qu’un serveur est activé pour Arc, vous pouvez lui attribuer des définitions d’Azure Policy, comme vous le feriez pour une machine virtuelle Azure native. Par exemple, vous pouvez vérifier si l’agent Log Analytics est installé, imposer l’application de certaines bases de référence de sécurité Windows ou déployer automatiquement l’agent Defender for Cloud. Les attributions de stratégies au niveau d’un groupe de gestion ou d’un abonnement évaluent automatiquement tous les serveurs activés pour Arc dans cette étendue, vous offrant ainsi une vue unifiée de la conformité dans les environnements locaux et cloud.

Les serveurs activés pour Arc peuvent envoyer des journaux et des métriques à Azure Monitor à l’aide de l’agent Azure Monitor (AMA). Vous créez une règle de collecte de données (DCR) qui spécifie les compteurs de performances et les journaux d’événements à collecter, ainsi que l’espace de travail Log Analytics auquel les envoyer. La même DCR peut cibler à la fois les serveurs activés pour Arc et les machines virtuelles Azure natives, ce qui fournit une configuration de supervision cohérente. Une fois les données acheminées, les mêmes requêtes KQL et règles d’alerte que celles utilisées pour les machines virtuelles Azure fonctionnent également pour les serveurs Arc.

L’activation de Microsoft Defender for Servers sur un serveur activé pour Arc installe l’agent Defender for Endpoint et fournit la même protection contre les menaces, la même analyse des vulnérabilités et les mêmes recommandations de sécurité que celles dont bénéficient les machines virtuelles cloud. Cette fonctionnalité est particulièrement utile pour les machines Windows Server 2012 et 2019 locales qui ne peuvent pas utiliser les produits de sécurité natifs du cloud sans Arc. Le score de posture de sécurité dans Defender for Cloud tient compte de toutes les ressources — gérées par Azure et par Arc — et vous offre ainsi une vue unifiée.

Kubernetes activé pour Azure Arc intègre à Azure tout cluster Kubernetes conforme à la CNCF (local, GKE, EKS ou Rancher). Vous installez les agents Arc au moyen d’un graphique Helm, après quoi le cluster apparaît dans ARM. Depuis Azure, vous pouvez déployer des applications avec GitOps (Flux ou Argo CD géré par Azure), appliquer Azure Policy pour Kubernetes (OPA Gatekeeper) et consulter l’état du cluster dans Azure Monitor. Le plan de contrôle s’exécute sur le cluster lui-même — Azure reçoit uniquement l’état et les données de télémétrie, et n’accède pas entièrement au serveur d’API.

GitOps est un modèle de déploiement dans lequel l’état souhaité de vos charges de travail Kubernetes est défini dans un dépôt Git, tandis qu’un agent sur le cluster réconcilie continuellement l’état du cluster pour le faire correspondre au dépôt. Avec Kubernetes activé pour Arc, vous configurez dans Azure une ressource FluxConfiguration pointant vers votre dépôt Git. L’opérateur Flux sur le cluster récupère les manifestes du dépôt et les applique, ce qui permet un déploiement d’applications déclaratif, auditable et automatisé sur un nombre quelconque de clusters à partir d’une source de vérité Git unique.

SQL Server activé pour Azure Arc intègre à ARM les instances SQL Server locales (2012 à 2022). Parmi les avantages : les mises à jour de sécurité étendues Azure (ESU) gratuites lorsque SQL Server est connecté à Arc (pour SQL Server 2012/2014 arrivé en fin de support général), la détection des menaces Microsoft Defender for SQL, l’authentification Entra ID pour SQL Server local et l’intégration à Azure Monitor pour les métriques de performances des bases de données. Arc ne modifie pas le fonctionnement de SQL Server : il ajoute uniquement des fonctionnalités de gestion.

Le pont de ressources Azure Arc est une appliance virtuelle légère déployée dans un environnement VMware vSphere ou Azure Stack HCI. Il crée une connexion de gestion qui vous permet d’afficher, de démarrer, d’arrêter et de redimensionner les machines virtuelles VMware depuis le portail Azure, sans les migrer. Cette fonctionnalité est particulièrement utile pour les organisations qui commencent leur transition vers le cloud et souhaitent standardiser leurs outils de gestion sur Azure tout en exécutant leurs machines virtuelles localement. Vous pouvez également appliquer des stratégies Arc et superviser ces machines virtuelles avec Azure Monitor grâce à la connexion au pont de ressources.

L’agent Azure Connected Machine et l’intégration de Kubernetes à Arc sont gratuits. Des frais s’appliquent à certains services à valeur ajoutée : Defender for Servers, l’ingestion de données de l’agent Azure Monitor et les services de données activés pour Arc (SQL Managed Instance, PostgreSQL). Les seuls prérequis pour intégrer un serveur sont les suivants : le serveur doit disposer d’un accès HTTPS sortant aux points de terminaison Azure (ou utiliser un proxy), utiliser un système d’exploitation pris en charge (Windows Server 2008 R2 ou version ultérieure, ou de nombreuses distributions Linux) et être associé à un abonnement Azure dans lequel le fournisseur de ressources Microsoft.HybridCompute est enregistré.

Vérifiez votre compréhension des concepts de Microsoft Azure Fundamentals (AZ-900) abordés dans cette leçon.

Dans cette leçon, vous avez appris qu’Azure Arc étend le plan de gestion Azure aux serveurs locaux, aux clusters Kubernetes et aux instances SQL Server en les projetant dans ARM, que l’agent Azure Connected Machine intègre les serveurs avec une simple connectivité HTTPS sortante, et que le GitOps avec Flux permet un déploiement d’applications déclaratif sur les clusters Kubernetes activés pour Arc. Nous allons maintenant découvrir Azure ExpressRoute et VPN Gateway pour établir une connectivité privée entre les environnements locaux et Azure.