Azure Arc: gestione delle risorse ibride

La maggior parte delle organizzazioni opera in un ambiente ibrido: alcuni carichi di lavoro vengono eseguiti in Azure, altri su server locali e altri ancora presso provider cloud differenti. Gestire questi ambienti eterogenei con strumenti separati crea silos operativi: criteri, monitoraggio e controlli degli accessi differenti. Azure Arc risolve il problema estendendo il piano di gestione di Azure a qualsiasi infrastruttura e consentendo di gestire risorse locali e multi-cloud usando lo stesso portale Azure, la stessa CLI, gli stessi criteri e lo stesso RBAC utilizzati per le risorse native di Azure.

Azure Arc è un insieme di tecnologie che proietta le risorse non Azure in Azure Resource Manager (ARM), facendole apparire come risorse Azure dotate di ID risorsa. Attualmente Arc supporta: server (VM Windows/Linux locali o in altri cloud), cluster Kubernetes (qualsiasi Kubernetes conforme a CNCF), istanze di SQL Server, servizi dati Azure (SQL Managed Instance e PostgreSQL su Arc), nonché macchine virtuali VMware vSphere e Azure Stack HCI.

Per eseguire l'onboarding di un server Windows o Linux in Arc, è necessario installare sul server l'Azure Connected Machine agent. L'agente registra la macchina con ARM e mantiene una connessione in uscita persistente verso Azure, senza richiedere porte in ingresso. Dopo la registrazione, il server appare nel portale Azure in Azure Arc > Servers, con un ID risorsa ARM completo. Dal portale è possibile generare uno script di onboarding interattivo o automatizzato che include i dettagli della sottoscrizione e del gruppo di risorse.

Una volta abilitato Arc, a un server è possibile assegnare definizioni di Azure Policy proprio come a una VM Azure nativa. Ad esempio, è possibile verificare se l'agente Log Analytics è installato, imporre l'applicazione di specifiche baseline di sicurezza Windows o distribuire automaticamente l'agente Defender for Cloud. Le assegnazioni dei criteri a livello di gruppo di gestione o di sottoscrizione valutano automaticamente tutti i server abilitati per Arc inclusi nell'ambito, offrendo una visualizzazione unificata della conformità tra ambienti locali e cloud.

I server abilitati per Arc possono inviare log e metriche ad Azure Monitor tramite Azure Monitor Agent (AMA). È necessario creare una Data Collection Rule (DCR) che specifichi quali contatori delle prestazioni e log degli eventi raccogliere e a quale workspace Log Analytics inviarli. La stessa DCR può essere applicata sia ai server abilitati per Arc sia alle VM Azure native, offrendo una configurazione di monitoraggio coerente. Una volta iniziato il flusso di dati, le stesse query KQL e le stesse regole di avviso utilizzate per le VM Azure funzionano anche per i server Arc.

L'abilitazione di Microsoft Defender for Servers su un server abilitato per Arc installa l'agente Defender for Endpoint e offre la stessa protezione dalle minacce, la stessa analisi delle vulnerabilità e le stesse raccomandazioni di sicurezza disponibili per le VM cloud. Ciò è particolarmente utile per le macchine Windows Server 2012 e 2019 locali che non possono usare prodotti di sicurezza cloud-native senza Arc. Il punteggio del livello di sicurezza in Defender for Cloud riflette tutte le risorse, sia Azure sia gestite da Arc, offrendo una visualizzazione unificata.

Azure Arc-enabled Kubernetes esegue l'onboarding in Azure di qualsiasi cluster Kubernetes conforme a CNCF (locale, GKE, EKS o Rancher). Gli agenti Arc vengono installati tramite un chart Helm, dopodiché il cluster appare in ARM. Da Azure è possibile distribuire applicazioni usando GitOps (Flux o Argo CD gestiti da Azure), applicare Azure Policy per Kubernetes (OPA Gatekeeper) e visualizzare l'integrità del cluster in Azure Monitor. Il piano di controllo viene eseguito sul cluster stesso: Azure riceve solo lo stato e i dati di telemetria, non l'accesso completo al server API.

GitOps è un modello di distribuzione in cui lo stato desiderato dei carichi di lavoro Kubernetes è definito in un repository Git e un agente sul cluster riconcilia continuamente lo stato del cluster per allinearlo al repository. Con Kubernetes abilitato per Arc, si configura in Azure una risorsa FluxConfiguration che punta al repository Git. L'operatore Flux sul cluster recupera i manifest dal repository e li applica, consentendo una distribuzione delle applicazioni dichiarativa, verificabile e automatizzata su un numero qualsiasi di cluster, a partire da un'unica fonte di verità Git.

Azure Arc-enabled SQL Server esegue l'onboarding in ARM delle istanze SQL Server locali (2012–2022). I vantaggi includono: Azure Extended Security Updates (ESU) gratuiti quando si è connessi ad Arc (per SQL Server 2012/2014 non più nel supporto mainstream), rilevamento delle minacce con Microsoft Defender for SQL, autenticazione Entra ID per SQL locale e integrazione con Azure Monitor per le metriche sulle prestazioni del database. Arc non modifica il funzionamento di SQL Server: aggiunge esclusivamente funzionalità di gestione.

Azure Arc resource bridge è un'appliance virtuale leggera distribuita in un ambiente VMware vSphere o Azure Stack HCI. Crea una connessione di gestione che consente di visualizzare, avviare, arrestare e ridimensionare le VM VMware dal portale Azure senza migrarle. È particolarmente utile per le organizzazioni all'inizio del percorso verso il cloud che desiderano standardizzare gli strumenti di gestione su Azure continuando a eseguire le VM in locale. È inoltre possibile applicare criteri Arc e monitorare queste VM con Azure Monitor tramite la connessione del resource bridge.

L'Azure Connected Machine agent e l'onboarding di Kubernetes in Arc sono gratuiti. I costi si applicano a specifici servizi a valore aggiunto: Defender for Servers, inserimento dei dati dell'agente Azure Monitor e servizi dati abilitati per Arc (SQL Managed Instance, PostgreSQL). Gli unici prerequisiti per l'onboarding di un server sono: il server deve disporre di accesso HTTPS in uscita agli endpoint Azure (oppure usare un proxy), di un sistema operativo supportato (Windows Server 2008 R2 o versioni successive oppure molte distribuzioni Linux) e di una sottoscrizione Azure con il provider di risorse Microsoft.HybridCompute registrato.

Verificate la vostra comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione avete appreso che Azure Arc estende il piano di gestione di Azure a server locali, cluster Kubernetes e istanze SQL Server proiettandoli in ARM; l'Azure Connected Machine agent esegue l'onboarding dei server richiedendo solo connettività HTTPS in uscita; infine, GitOps con Flux consente la distribuzione dichiarativa delle applicazioni tra cluster Kubernetes abilitati per Arc. Prossimamente esploreremo Azure ExpressRoute e VPN Gateway per la connettività privata tra gli ambienti locali e Azure.