Azure Arc: управление гибридными ресурсами

Большинство организаций работают в гибридной среде: одни рабочие нагрузки выполняются в Azure, другие — на локальных серверах, а третьи — у других поставщиков облачных услуг. Управление такими разнородными средами с помощью отдельных инструментов создаёт операционные изолированные области — разные политики, мониторинг и средства управления доступом. Azure Arc решает эту проблему, расширяя плоскость управления Azure на любую инфраструктуру и позволяя управлять локальными ресурсами и ресурсами в нескольких облаках через тот же портал Azure, CLI, политики и RBAC, которые Вы используете для собственных ресурсов Azure.

Azure Arc — это набор технологий, которые проецируют ресурсы, не относящиеся к Azure, в Azure Resource Manager (ARM), благодаря чему они отображаются как ресурсы Azure с идентификаторами ресурсов. В настоящее время Arc поддерживает: серверы (локальные виртуальные машины Windows/Linux или виртуальные машины в других облаках), кластеры Kubernetes (любой Kubernetes, соответствующий требованиям CNCF), экземпляры SQL-сервера, службы данных Azure (SQL Managed Instance и PostgreSQL на Arc), а также виртуальные машины VMware vSphere и Azure Stack HCI.

Чтобы подключить сервер Windows или Linux к Arc, установите на сервере агент Azure Connected Machine. Агент регистрирует компьютер в ARM и поддерживает постоянное исходящее подключение к Azure (входящие порты не требуются). После регистрации сервер отображается на портале Azure в разделе Azure Arc > Серверы с полным идентификатором ресурса ARM. На портале можно создать интерактивный или автоматизированный сценарий подключения, содержащий сведения о Вашей подписке и группе ресурсов.

После включения поддержки Arc для сервера Вы можете назначать ему определения Azure Policy так же, как обычной виртуальной машине Azure. Например, можно проверить, установлен ли агент Log Analytics, обеспечить применение определённых базовых параметров безопасности Windows или автоматически развернуть агент Defender for Cloud. Назначения политик на уровне группы управления или подписки автоматически оценивают все серверы с поддержкой Arc в этой области, обеспечивая единое представление о соответствии требованиям для локальной инфраструктуры и облака.

Серверы с поддержкой Arc могут отправлять журналы и метрики в Azure Monitor с помощью агента Azure Monitor (AMA). Вы создаёте правило сбора данных (DCR), указывая, какие счётчики производительности и журналы событий собирать и в какую рабочую область Log Analytics их отправлять. Одно и то же DCR может применяться как к серверам с поддержкой Arc, так и к обычным виртуальным машинам Azure, обеспечивая единообразную конфигурацию мониторинга. После начала передачи данных те же запросы KQL и правила оповещений, которые Вы используете для виртуальных машин Azure, работают и для серверов Arc.

Включение Microsoft Defender for Servers на сервере с поддержкой Arc устанавливает агент Defender for Endpoint и обеспечивает такую же защиту от угроз, проверку уязвимостей и рекомендации по безопасности, как и для облачных виртуальных машин. Это особенно ценно для локальных компьютеров под управлением Windows Server 2012 и 2019, которые без Arc не могут использовать облачные средства безопасности. Оценка состояния безопасности в Defender for Cloud учитывает все ресурсы — как Azure, так и управляемые Arc, — обеспечивая единое представление.

Kubernetes с поддержкой Azure Arc подключает к Azure любой кластер Kubernetes, соответствующий требованиям CNCF (локальный кластер, GKE, EKS или Rancher). Вы устанавливаете агенты Arc с помощью диаграммы Helm, после чего кластер появляется в ARM. Из Azure можно развёртывать приложения с помощью GitOps (Flux или Argo CD, управляемых Azure), применять Azure Policy для Kubernetes (OPA Gatekeeper) и просматривать состояние кластера в Azure Monitor. Плоскость управления работает непосредственно в кластере — Azure получает только сведения о состоянии и телеметрию, но не полный доступ к API-серверу.

GitOps — это модель развёртывания, в которой желаемое состояние рабочих нагрузок Kubernetes определяется в репозитории Git, а агент в кластере непрерывно приводит состояние кластера в соответствие с репозиторием. При использовании Kubernetes с поддержкой Arc Вы настраиваете в Azure ресурс FluxConfiguration, указывающий на Ваш репозиторий Git. Оператор Flux в кластере извлекает манифесты из репозитория и применяет их, обеспечивая декларативное, проверяемое и автоматизированное развёртывание приложений в любом количестве кластеров из единого источника истины Git.

SQL-сервер с поддержкой Azure Arc подключает локальные экземпляры SQL Server (2012–2022) к ARM. Преимущества включают: Azure Extended Security Updates (ESU) бесплатно при подключении к Arc (для SQL Server 2012/2014, вышедших из основной поддержки), обнаружение угроз с помощью Microsoft Defender for SQL, аутентификацию Entra ID для локального SQL-сервера и интеграцию с Azure Monitor для метрик производительности базы данных. Arc не изменяет принцип работы SQL Server — он только добавляет возможности управления.

Мост ресурсов Azure Arc — это лёгкое виртуальное устройство, развёрнутое в среде VMware vSphere или Azure Stack HCI. Оно создаёт подключение управления, позволяющее просматривать, запускать, останавливать и изменять размер виртуальных машин VMware на портале Azure без их миграции. Это особенно полезно для организаций, начинающих переход в облако и желающих стандартизировать инструменты управления Azure, продолжая выполнять виртуальные машины локально. Через подключение моста ресурсов также можно применять политики Arc и отслеживать эти виртуальные машины с помощью Azure Monitor.

Агент Azure Connected Machine и подключение Kubernetes к Arc предоставляются бесплатно. Плата взимается за отдельные дополнительные службы: Defender for Servers, приём данных агентом Azure Monitor и службы данных с поддержкой Arc (SQL Managed Instance, PostgreSQL). Единственные предварительные требования для подключения сервера: сервер должен иметь исходящий доступ по HTTPS к конечным точкам Azure (или использовать прокси), поддерживаемую ОС (Windows Server 2008 R2+ или один из многих дистрибутивов Linux) и подписку Azure с зарегистрированным поставщиком ресурсов Microsoft.HybridCompute.

Проверьте своё понимание концепций Microsoft Azure Fundamentals (AZ-900) из этого урока.

В этом уроке Вы узнали, что Azure Arc расширяет плоскость управления Azure на локальные серверы, кластеры Kubernetes и экземпляры SQL Server, проецируя их в ARM; агент Azure Connected Machine подключает серверы, используя только исходящее соединение HTTPS; а GitOps с Flux обеспечивает декларативное развёртывание приложений в кластерах Kubernetes с поддержкой Arc. Далее мы рассмотрим Azure ExpressRoute и VPN Gateway для частного подключения локальной инфраструктуры к Azure.