Azure Arc: zarządzanie zasobami hybrydowymi

Większość organizacji działa w środowisku hybrydowym: część obciążeń działa na platformie Azure, inne na serwerach lokalnych, a jeszcze inne u pozostałych dostawców chmury. Zarządzanie tymi odrębnymi środowiskami za pomocą oddzielnych narzędzi tworzy silosy operacyjne — różne zasady, różne systemy monitorowania i różne mechanizmy kontroli dostępu. Azure Arc rozwiązuje ten problem, rozszerzając płaszczyznę zarządzania Azure na dowolną infrastrukturę i umożliwiając zarządzanie zasobami lokalnymi oraz wielochmurowymi za pomocą tego samego portalu Azure, interfejsu CLI, zasad i mechanizmu RBAC, których używa się w przypadku zasobów natywnych Azure.

Azure Arc to zestaw technologii, które odwzorowują zasoby spoza platformy Azure w Azure Resource Manager (ARM), dzięki czemu pojawiają się one jako zasoby Azure z identyfikatorami zasobów. Obecnie Arc obsługuje: serwery (maszyny wirtualne Windows/Linux lokalnie lub w innych chmurach), klastry Kubernetes (dowolny Kubernetes zgodny ze standardem CNCF), wystąpienia SQL Server, usługi danych Azure (SQL Managed Instance i PostgreSQL w Arc), a także maszyny wirtualne VMware vSphere i Azure Stack HCI.

Aby dodać serwer Windows lub Linux do Arc, należy zainstalować na nim Azure Connected Machine agent. Agent rejestruje maszynę w ARM i utrzymuje trwałe wychodzące połączenie z platformą Azure (nie są wymagane porty przychodzące). Po rejestracji serwer pojawia się w portalu Azure w sekcji Azure Arc > Servers wraz z pełnym identyfikatorem zasobu ARM. W portalu można wygenerować interaktywny lub automatyczny skrypt wdrażania, który zawiera informacje o subskrypcji i grupie zasobów.

Po włączeniu obsługi Arc dla serwera można przypisywać do niego definicje Azure Policy tak samo jak do natywnej maszyny wirtualnej Azure. Można na przykład sprawdzać, czy zainstalowano agenta Log Analytics, wymuszać stosowanie określonych bazowych ustawień zabezpieczeń systemu Windows lub automatycznie wdrażać agenta Defender for Cloud. Przypisania zasad na poziomie grupy zarządzania lub subskrypcji automatycznie oceniają wszystkie serwery z włączoną obsługą Arc w danym zakresie, zapewniając ujednolicony widok zgodności w środowiskach lokalnych i chmurowych.

Serwery z włączoną obsługą Arc mogą wysyłać dzienniki i metryki do Azure Monitor za pomocą agenta Azure Monitor (AMA). Należy utworzyć regułę zbierania danych (DCR), określającą, które liczniki wydajności i dzienniki zdarzeń mają być zbierane oraz do którego obszaru roboczego Log Analytics mają być wysyłane. Ta sama DCR może obejmować zarówno serwery z włączoną obsługą Arc, jak i natywne maszyny wirtualne Azure, zapewniając spójną konfigurację monitorowania. Po rozpoczęciu przepływu danych te same zapytania KQL i reguły alertów, których używa się dla maszyn wirtualnych Azure, działają również dla serwerów Arc.

Włączenie Microsoft Defender for Servers na serwerze z obsługą Arc instaluje agenta Defender for Endpoint i zapewnia taką samą ochronę przed zagrożeniami, analizę luk w zabezpieczeniach oraz zalecenia dotyczące bezpieczeństwa, jakie otrzymują maszyny wirtualne w chmurze. Jest to szczególnie przydatne w przypadku lokalnych maszyn Windows Server 2012 i 2019, które bez Arc nie mogą korzystać z natywnych dla chmury produktów zabezpieczających. Wynik stanu zabezpieczeń w Defender for Cloud uwzględnia wszystkie zasoby — zarówno Azure, jak i zarządzane przez Arc — zapewniając ujednolicony widok.

Azure Arc-enabled Kubernetes umożliwia dodanie do Azure dowolnego klastra Kubernetes zgodnego ze standardem CNCF (lokalnego, GKE, EKS lub Rancher). Agenty Arc instaluje się za pomocą wykresu Helm, po czym klaster pojawia się w ARM. Z poziomu Azure można wdrażać aplikacje za pomocą GitOps (Flux lub Argo CD zarządzanych przez Azure), stosować Azure Policy dla Kubernetes (OPA Gatekeeper) oraz wyświetlać stan klastra w Azure Monitor. Płaszczyzna sterowania działa na samym klastrze — Azure otrzymuje jedynie stan i dane telemetryczne, a nie pełny dostęp do serwera API.

GitOps to wzorzec wdrażania, w którym pożądany stan obciążeń Kubernetes jest zdefiniowany w repozytorium Git, a agent działający w klastrze stale uzgadnia stan klastra z zawartością repozytorium. W przypadku Kubernetes z włączoną obsługą Arc konfiguruje się zasób FluxConfiguration w Azure, wskazując repozytorium Git. Operator Flux działający w klastrze pobiera manifesty z repozytorium i stosuje je, umożliwiając deklaratywne, kontrolowane i zautomatyzowane wdrażanie aplikacji w dowolnej liczbie klastrów z jednego repozytorium Git będącego źródłem prawdy.

Azure Arc-enabled SQL Server umożliwia dodanie lokalnych wystąpień SQL Server (2012–2022) do ARM. Korzyści obejmują: Azure Extended Security Updates (ESU) dostępne bezpłatnie po połączeniu z Arc (dla SQL Server 2012/2014, które wyszły z głównego okresu wsparcia), wykrywanie zagrożeń przez Microsoft Defender for SQL, uwierzytelnianie Entra ID dla lokalnego SQL oraz integrację z Azure Monitor na potrzeby metryk wydajności baz danych. Arc nie zmienia sposobu działania SQL Server — dodaje jedynie możliwości zarządzania.

Azure Arc resource bridge to lekkie urządzenie wirtualne wdrażane w środowisku VMware vSphere lub Azure Stack HCI. Tworzy ono połączenie zarządzające, które umożliwia wyświetlanie, uruchamianie, zatrzymywanie i zmianę rozmiaru maszyn wirtualnych VMware z poziomu portalu Azure, bez ich migrowania. Jest to szczególnie przydatne dla organizacji rozpoczynających korzystanie z chmury, które chcą ustandaryzować narzędzia zarządzania na platformie Azure, jednocześnie uruchamiając maszyny wirtualne lokalnie. Za pośrednictwem połączenia z mostem zasobów można również stosować zasady Arc i monitorować te maszyny wirtualne za pomocą Azure Monitor.

Agent Azure Connected Machine i dodawanie Kubernetes do Arc są bezpłatne. Opłaty dotyczą określonych usług dodatkowych: Defender for Servers, pozyskiwania danych przez agenta Azure Monitor oraz usług danych z obsługą Arc (SQL Managed Instance, PostgreSQL). Jedyne wymagania wstępne dotyczące dodawania serwera to: serwer musi mieć wychodzący dostęp HTTPS do punktów końcowych Azure (lub korzystać z serwera proxy), obsługiwany system operacyjny (Windows Server 2008 R2 lub nowszy albo jedna z wielu dystrybucji systemu Linux) oraz subskrypcję Azure z zarejestrowanym dostawcą zasobów Microsoft.HybridCompute.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że Azure Arc rozszerza płaszczyznę zarządzania Azure na serwery lokalne, klastry Kubernetes i wystąpienia SQL Server, odwzorowując je w ARM, Azure Connected Machine agent dodaje serwery przy użyciu wyłącznie wychodzącej łączności HTTPS, a GitOps z Flux umożliwia deklaratywne wdrażanie aplikacji w klastrach Kubernetes z włączoną obsługą Arc. Następnie omówimy Azure ExpressRoute i VPN Gateway, które zapewniają prywatną łączność między środowiskiem lokalnym a Azure.