Azure Arc: Gerenciando Recursos Híbridos

A maioria das organizações opera em um ambiente híbrido: algumas cargas de trabalho são executadas no Azure, outras em servidores locais e algumas em outros provedores de nuvem. Gerenciar esses ambientes distintos com ferramentas separadas cria silos operacionais — políticas, monitoramento e controles de acesso diferentes. O Azure Arc resolve esse problema ao estender o plano de gerenciamento do Azure a qualquer infraestrutura, permitindo gerenciar recursos locais e multinuvem usando o mesmo portal do Azure, a mesma CLI, as mesmas políticas e o mesmo RBAC usados para recursos nativos do Azure.

O Azure Arc é um conjunto de tecnologias que projeta recursos que não são do Azure no Azure Resource Manager (ARM), fazendo com que apareçam como recursos do Azure com IDs de recurso. Atualmente, o Arc oferece suporte a: servidores (VMs Windows/Linux locais ou em outras nuvens), clusters Kubernetes (qualquer Kubernetes em conformidade com a CNCF), instâncias do SQL Server, serviços de dados do Azure (SQL Managed Instance e PostgreSQL no Arc) e máquinas virtuais do VMware vSphere e do Azure Stack HCI.

Para integrar um servidor Windows ou Linux ao Arc, você instala o agente Azure Connected Machine no servidor. O agente registra a máquina no ARM e mantém uma conexão persistente de saída com o Azure (não são necessárias portas de entrada). Após o registro, o servidor aparece no portal do Azure em Azure Arc > Servidores, com um ID de recurso ARM completo. Você pode gerar no portal um script de integração interativo ou automatizado que inclua os detalhes da sua assinatura e do grupo de recursos.

Depois que um servidor é habilitado para o Arc, você pode atribuir definições do Azure Policy a ele, assim como faria com uma VM nativa do Azure. Por exemplo, você pode auditar se o agente do Log Analytics está instalado, exigir a aplicação de determinadas linhas de base de segurança do Windows ou implantar automaticamente o agente do Defender for Cloud. As atribuições de políticas no escopo de um grupo de gerenciamento ou de uma assinatura avaliam automaticamente todos os servidores habilitados para o Arc nesse escopo, oferecendo uma visão unificada da conformidade em ambientes locais e de nuvem.

Os servidores habilitados para o Arc podem enviar registros e métricas ao Azure Monitor usando o Azure Monitor Agent (AMA). Você cria uma Regra de Coleta de Dados (DCR) especificando quais contadores de desempenho e registros de eventos devem ser coletados e para qual espaço de trabalho do Log Analytics eles devem ser enviados. A mesma DCR pode ter como destino servidores habilitados para o Arc e VMs nativas do Azure, proporcionando uma configuração de monitoramento consistente. Depois que os dados começam a fluir, as mesmas consultas KQL e regras de alerta usadas para VMs do Azure também funcionam para servidores Arc.

Habilitar o Microsoft Defender for Servers em um servidor habilitado para o Arc instala o agente do Defender for Endpoint e oferece a mesma proteção contra ameaças, análise de vulnerabilidades e recomendações de segurança recebidas pelas VMs de nuvem. Isso é especialmente valioso para máquinas locais com Windows Server 2012 e 2019 que não podem usar produtos de segurança nativos da nuvem sem o Arc. A pontuação da postura de segurança no Defender for Cloud reflete todos os recursos — gerenciados pelo Azure e pelo Arc —, oferecendo uma visão unificada.

O Kubernetes habilitado para Azure Arc integra ao Azure qualquer cluster Kubernetes em conformidade com a CNCF (local, GKE, EKS ou Rancher). Você instala os agentes do Arc por meio de um gráfico Helm, após o que o cluster aparece no ARM. No Azure, você pode implantar aplicações usando GitOps (Flux ou Argo CD gerenciados pelo Azure), aplicar o Azure Policy para Kubernetes (OPA Gatekeeper) e visualizar a integridade do cluster no Azure Monitor. O plano de controle é executado no próprio cluster — o Azure recebe apenas o status e a telemetria, não o acesso completo ao servidor da API.

GitOps é um padrão de implantação no qual o estado desejado das cargas de trabalho do Kubernetes é definido em um repositório Git, e um agente no cluster reconcilia continuamente o estado do cluster para que corresponda ao repositório. Com o Kubernetes habilitado para o Arc, você configura no Azure um recurso FluxConfiguration que aponta para o seu repositório Git. O operador Flux no cluster obtém os manifestos do repositório e os aplica, permitindo a implantação declarativa, auditável e automatizada de aplicações em qualquer quantidade de clusters, a partir de uma única fonte de verdade no Git.

O SQL Server habilitado para o Azure Arc integra instâncias locais do SQL Server (2012–2022) ao ARM. Entre os benefícios estão: Azure Extended Security Updates (ESU) gratuitos quando conectado ao Arc (para SQL Server 2012/2014 fora do suporte principal), detecção de ameaças do Microsoft Defender for SQL, autenticação do Entra ID para SQL local e integração com o Azure Monitor para métricas de desempenho do banco de dados. O Arc não altera a forma como o SQL Server é executado — ele apenas adiciona recursos de gerenciamento.

A ponte de recursos do Azure Arc é um dispositivo virtual leve implantado em um ambiente VMware vSphere ou Azure Stack HCI. Ela cria uma conexão de gerenciamento que permite visualizar, iniciar, parar e redimensionar VMs do VMware no portal do Azure, sem migrá-las. Isso é especialmente útil para organizações que estão começando sua jornada na nuvem e desejam padronizar as ferramentas de gerenciamento no Azure enquanto executam VMs localmente. Você também pode aplicar políticas do Arc e monitorar essas VMs com o Azure Monitor por meio da conexão da ponte de recursos.

O agente Azure Connected Machine e a integração do Kubernetes ao Arc são gratuitos. Há cobrança por serviços específicos de valor agregado: Defender for Servers, ingestão de dados do agente do Azure Monitor e serviços de dados habilitados para o Arc (SQL Managed Instance, PostgreSQL). Os únicos pré-requisitos para integrar um servidor são: o servidor deve ter acesso HTTPS de saída aos pontos de extremidade do Azure (ou usar um proxy), um sistema operacional compatível (Windows Server 2008 R2 ou posterior, ou muitas distribuições Linux) e uma assinatura do Azure com o provedor de recursos Microsoft.HybridCompute registrado.

Teste sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) abordados nesta lição.

Nesta lição, você aprendeu que o Azure Arc estende o plano de gerenciamento do Azure a servidores locais, clusters Kubernetes e instâncias do SQL Server, projetando-os no ARM; o agente Azure Connected Machine integra servidores usando apenas conectividade HTTPS de saída; e o GitOps com Flux permite a implantação declarativa de aplicações em clusters Kubernetes habilitados para o Arc. A seguir, exploraremos o Azure ExpressRoute e o VPN Gateway para obter conectividade privada entre ambientes locais e o Azure.