Principy konfigurace počítače Azure

Funkce konfigurace počítače služby Azure Policy poskytuje nativní schopnost auditovat nebo konfigurovat nastavení operačního systému jako kód pro počítače spuštěné v Azure a hybridní počítače s podporou Arc. Tuto funkci můžete použít přímo pro jednotlivé počítače nebo ji orchestrovat ve velkém měřítku pomocí služby Azure Policy.

Prostředky konfigurace v Azure jsou navržené jako prostředek rozšíření. Každou konfiguraci si můžete představit jako další sadu vlastností počítače. Konfigurace můžou zahrnovat nastavení, jako jsou:

• Nastavení operačního systému
• Konfigurace nebo přítomnost aplikací
• Nastavení prostředí

Konfigurace se liší od definic zásad. Konfigurace počítače používá Azure Policy k dynamickému přiřazování konfigurací počítačům. Ke počítačům můžete také přiřadit konfigurace ručně nebo pomocí jiných služeb Azure, jako je například Automanage.

Příklady jednotlivých scénářů najdete v následující tabulce.

Výsledky nastavení můžete zobrazit z konfigurací na stránce Přiřazení hostů. Pokud je orchestrace konfigurace orchestrace přiřazená službou Azure Policy, můžete na stránce Podrobnosti o dodržování předpisů vybrat odkaz Poslední vyhodnocený prostředek.

Režimy vynucení pro vlastní zásady

Aby bylo možné zajistit větší flexibilitu vynucování a monitorování nastavení serveru, aplikací a úloh, nabízí Konfigurace počítače tři hlavní režimy vynucení pro každé přiřazení zásad, jak je popsáno v následující tabulce.

K dispozici je video s návodem k tomuto dokumentu. (Připravujeme aktualizaci)

Povolení konfigurace počítače

Pokud chcete spravovat stav počítačů ve vašem prostředí, včetně počítačů na serverech s podporou Azure a Arc, projděte si následující podrobnosti.

Poskytovatel prostředků

Než budete moct použít funkci konfigurace počítače služby Azure Policy, musíte poskytovatele prostředků zaregistrovat Microsoft.GuestConfiguration . Pokud se přiřazení zásad konfigurace počítače provádí prostřednictvím portálu nebo pokud je předplatné zaregistrované v programu Microsoft Defender for Cloud, poskytovatel prostředků se zaregistruje automaticky. Ručně se můžete zaregistrovat prostřednictvím portálu, Azure PowerShellu nebo Azure CLI.

Požadavky na nasazení pro virtuální počítače Azure

Pokud chcete spravovat nastavení uvnitř počítače, musí být povolené rozšíření virtuálního počítače a počítač musí mít identitu spravovanou systémem. Rozšíření stáhne příslušná přiřazení konfigurace počítače a odpovídající závislosti. Identita se používá k ověření počítače při čtení a zápisu do konfigurační služby počítače. U serverů s podporou služby Arc se toto rozšíření nevyžaduje, protože je součástí agenta Arc Connected Machine Agent.

Pokud chcete nasadit rozšíření ve velkém měřítku napříč mnoha počítači, přiřaďte iniciativu zásad. Deploy prerequisites to enable Guest Configuration policies on virtual machines skupiny pro správu, předplatného nebo skupiny prostředků obsahující počítače, které chcete spravovat.

Pokud dáváte přednost nasazení rozšíření a spravované identity do jednoho počítače, přečtěte si téma Konfigurace spravovaných identit pro prostředky Azure na virtuálním počítači pomocí webu Azure Portal.

Pokud chcete použít konfigurační balíčky počítače, které používají konfigurace, je potřeba rozšíření konfigurace hosta virtuálního počítače Azure verze 1.26.24 nebo novější.

Omezení nastavená na rozšíření

Pokud chcete omezit rozšíření z ovlivnění aplikací spuštěných v počítači, agent konfigurace počítače nesmí překročit více než 5 % procesoru. Toto omezení platí pro předdefinované i vlastní definice. Totéž platí pro službu konfigurace počítače v agentu Arc Connected Machine.

Nástroje pro ověřování

V počítači agent konfigurace počítače používá k provádění úloh místní nástroje.

V následující tabulce najdete seznam místních nástrojů, které se používají v jednotlivých podporovaných operačních systémech. U integrovaného obsahu zpracovává konfigurace počítače automatické načítání těchto nástrojů.

Frekvence ověřování

Agent konfigurace počítače každých 5 minut kontroluje nová nebo změněná přiřazení hostů. Po přijetí přiřazení hosta se nastavení této konfigurace znovu zkontroluje v 15minutovém intervalu. Pokud je přiřazeno více konfigurací, každý se vyhodnocuje postupně. Dlouhotrvající konfigurace ovlivňují interval pro všechny konfigurace, protože další nejde spustit, dokud předchozí konfigurace nedokončí.

Po dokončení auditu se výsledky odešlou do služby konfigurace počítače. Když dojde k triggeru vyhodnocení zásad, stav počítače se zapíše poskytovateli prostředků konfigurace počítače. Tato aktualizace způsobí, že Azure Policy vyhodnotí vlastnosti Azure Resource Manageru. Vyhodnocení služby Azure Policy na vyžádání načte nejnovější hodnotu od poskytovatele prostředků konfigurace počítače. Neaktivuje ale novou aktivitu v rámci počítače. Stav se pak zapíše do Azure Resource Graphu.

Podporované typy klientů

Definice zásad konfigurace počítače zahrnují nové verze. Starší verze operačních systémů, které jsou k dispozici na Azure Marketplace, jsou vyloučeny, pokud klient konfigurace hosta není kompatibilní. Kromě toho jsou verze serverů s Linuxem, které nejsou podporovány jejich příslušnými vydavateli, vyloučeny z matice podpory.

Následující tabulka uvádí seznam podporovaných operačních systémů v imagích Azure. Text .x je symbolický, aby představoval nové podverze linuxových distribucí.

* Red Hat CoreOS se nepodporuje.

Definice zásad konfigurace počítače podporují vlastní image virtuálních počítačů, pokud jsou jedním z operačních systémů v předchozí tabulce. Konfigurace počítače nepodporuje jednotné VMSS, ale podporuje VMSS Flex.

Síťové požadavky

Virtuální počítače Azure můžou ke komunikaci se službou konfigurace počítače použít buď místní virtuální síťový adaptér (vNIC), nebo Azure Private Link.

Počítače s podporou Azure Arc se připojují pomocí místní síťové infrastruktury, aby se dostaly ke službám Azure a hlásily stav dodržování předpisů.

Následuje seznam koncových bodů služby Azure Storage vyžadovaných pro virtuální počítače s podporou Azure a Azure Arc ke komunikaci s poskytovatelem prostředků konfigurace počítače v Azure:

• oaasguestconfigac2s1.blob.core.windows.net
• oaasguestconfigacs1.blob.core.windows.net
• oaasguestconfigaes1.blob.core.windows.net
• oaasguestconfigases1.blob.core.windows.net
• oaasguestconfigbrses1.blob.core.windows.net
• oaasguestconfigbrss1.blob.core.windows.net
• oaasguestconfigccs1.blob.core.windows.net
• oaasguestconfigces1.blob.core.windows.net
• oaasguestconfigcids1.blob.core.windows.net
• oaasguestconfigcuss1.blob.core.windows.net
• oaasguestconfigeaps1.blob.core.windows.net
• oaasguestconfigeas1.blob.core.windows.net
• oaasguestconfigeus2s1.blob.core.windows.net
• oaasguestconfigeuss1.blob.core.windows.net
• oaasguestconfigfcs1.blob.core.windows.net
• oaasguestconfigfss1.blob.core.windows.net
• oaasguestconfiggewcs1.blob.core.windows.net
• oaasguestconfiggns1.blob.core.windows.net
• oaasguestconfiggwcs1.blob.core.windows.net
• oaasguestconfigjiws1.blob.core.windows.net
• oaasguestconfigjpes1.blob.core.windows.net
• oaasguestconfigjpws1.blob.core.windows.net
• oaasguestconfigkcs1.blob.core.windows.net
• oaasguestconfigkss1.blob.core.windows.net
• oaasguestconfigncuss1.blob.core.windows.net
• oaasguestconfignes1.blob.core.windows.net
• oaasguestconfignres1.blob.core.windows.net
• oaasguestconfignrws1.blob.core.windows.net
• oaasguestconfigqacs1.blob.core.windows.net
• oaasguestconfigsans1.blob.core.windows.net
• oaasguestconfigscuss1.blob.core.windows.net
• oaasguestconfigseas1.blob.core.windows.net
• oaasguestconfigsecs1.blob.core.windows.net
• oaasguestconfigsfns1.blob.core.windows.net
• oaasguestconfigsfws1.blob.core.windows.net
• oaasguestconfigsids1.blob.core.windows.net
• oaasguestconfigstzns1.blob.core.windows.net
• oaasguestconfigswcs1.blob.core.windows.net
• oaasguestconfigswns1.blob.core.windows.net
• oaasguestconfigswss1.blob.core.windows.net
• oaasguestconfigswws1.blob.core.windows.net
• oaasguestconfiguaecs1.blob.core.windows.net
• oaasguestconfiguaens1.blob.core.windows.net
• oaasguestconfigukss1.blob.core.windows.net
• oaasguestconfigukws1.blob.core.windows.net
• oaasguestconfigwcuss1.blob.core.windows.net
• oaasguestconfigwes1.blob.core.windows.net
• oaasguestconfigwids1.blob.core.windows.net
• oaasguestconfigwus2s1.blob.core.windows.net
• oaasguestconfigwus3s1.blob.core.windows.net
• oaasguestconfigwuss1.blob.core.windows.net

Komunikace přes virtuální sítě v Azure

Pokud chcete komunikovat s poskytovatelem prostředků konfigurace počítače v Azure, počítače vyžadují odchozí přístup k datacentrům Azure na portu 443*. Pokud síť v Azure nepovoluje odchozí provoz, nakonfigurujte výjimky s pravidly skupiny zabezpečení sítě. Značky AzureArcInfrastructure služeb a Storage lze je použít k odkazování na konfiguraci hosta a služby Storage místo ruční údržby seznamu rozsahů IP adres pro datacentra Azure. Obě značky se vyžadují, protože Azure Storage hostuje balíčky obsahu konfigurace počítače.

Komunikace přes Private Link v Azure

Virtuální počítače můžou pro komunikaci se službou konfigurace počítače používat privátní propojení . Tuto funkci povolíte použitím značky s názvem EnablePrivateNetworkGC a hodnotou TRUE . Značku lze použít před nebo po definicích zásad konfigurace počítače na počítač.

Provoz se směruje pomocí virtuální veřejné IP adresy Azure k vytvoření zabezpečeného ověřeného kanálu s prostředky platformy Azure.

Komunikace přes veřejné koncové body mimo Azure

Servery umístěné místně nebo v jiných cloudech je možné spravovat pomocí konfigurace počítače tím, že je připojíte ke službě Azure Arc.

U serverů s podporou Služby Azure Arc povolte provoz pomocí následujících vzorů:

• Port: Vyžaduje se pouze port TCP 443 pro odchozí internetový přístup.
• Globální adresa URL: *.guestconfiguration.azure.com

Úplný seznam všech koncových bodů sítě vyžadovaných agentem Azure Connected Machine Agent pro základní scénáře konfigurace azure Arc a počítačů najdete v požadavcích na síť serverů s podporou Azure Arc.

Komunikace přes Private Link mimo Azure

Pokud používáte privátní propojení se servery s podporou Arc, předdefinované balíčky zásad se automaticky stáhnou přes privátní propojení. Pro povolení této funkce nemusíte na serveru s podporou Arc nastavovat žádné značky.

Přiřazení zásad počítačům mimo Azure

Definice zásad auditu, které jsou k dispozici pro konfiguraci počítače, zahrnují typ prostředku Microsoft.HybridCompute/machines . Všechny počítače nasazené na servery s podporou Azure Arc, které jsou v oboru přiřazení zásad, se automaticky zahrnou.

Požadavky na spravovanou identitu

Definice zásad v iniciativě Deploy prerequisites to enable guest configuration policies on virtual machines umožňují spravovanou identitu přiřazenou systémem, pokud neexistuje. V iniciativě existují dvě definice zásad, které spravují vytváření identit. Podmínky if v definicích zásad zajišťují správné chování na základě aktuálního stavu prostředku počítače v Azure.

Pokud počítač aktuálně nemá žádné spravované identity, efektivní zásada je: Přidání spravované identity přiřazené systémem pro povolení přiřazení konfigurace hosta na virtuálních počítačích bez identit

Pokud má počítač aktuálně identitu systému přiřazenou uživatelem, efektivní zásada je: Přidání spravované identity přiřazené systémem pro povolení přiřazení konfigurace hosta na virtuálních počítačích s identitou přiřazenou uživatelem

Dostupnost

Zákazníci, kteří navrhují vysoce dostupné řešení, by měli zvážit požadavky na plánování redundance pro virtuální počítače , protože přiřazení hostů jsou rozšířením prostředků počítačů v Azure. Když se prostředky přiřazení hostů zřídí do spárované oblasti Azure, můžete zobrazit sestavy přiřazení hostů, pokud je k dispozici aspoň jedna oblast v páru. Pokud oblast Azure není spárovaná a stane se nedostupnou, nemůžete získat přístup k sestavám pro přiřazení hosta. Po obnovení oblasti se k sestavám dostanete znovu.

Osvědčeným postupem je přiřadit stejné definice zásad se stejnými parametry všem počítačům v řešení pro aplikace s vysokou dostupností. To platí zejména pro scénáře, kdy se virtuální počítače zřizují ve skupinách dostupnosti za řešením nástroje pro vyrovnávání zatížení. Jedno přiřazení zásad, které zahrnuje všechny počítače, má nejmenší režii na správu.

U počítačů chráněných službou Azure Site Recovery se ujistěte, že jsou počítače v primární a sekundární lokalitě v rozsahu přiřazení služby Azure Policy pro stejné definice. Pro obě lokality použijte stejné hodnoty parametrů.

Umístění dat

Konfigurace počítače ukládá a zpracovává zákaznická data. Ve výchozím nastavení se zákaznická data replikují do spárované oblasti. V oblastech Singapur, Brazílie – jih a Východní Asie se všechna zákaznická data ukládají a zpracovávají v dané oblasti.

Řešení potíží s konfigurací počítače

Další informace o řešení potíží s konfigurací počítače najdete v tématu Řešení potíží se službou Azure Policy.

Více přiřazení

V tuto chvíli podporují více přiřazení jenom některé předdefinované definice zásad konfigurace počítače. Všechny vlastní zásady ale ve výchozím nastavení podporují více přiřazení, pokud jste k vytvoření balíčků a zásad konfigurace počítače použili nejnovější verzi modulu PowerShellu Konfigurace hosta.

Následuje seznam předdefinovaných definic zásad konfigurace počítače, které podporují více přiřazení:

Přiřazení ke skupinám pro správu Azure

Definice služby Azure Policy v kategorii Guest Configuration je možné přiřadit skupinám pro správu, pokud je AuditIfNotExists účinek nebo DeployIfNotExists.

Soubory protokolu klienta

Rozšíření konfigurace počítače zapisuje soubory protokolu do následujících umístění:

Windows

• Virtuální počítač Azure: C:\ProgramData\GuestConfig\gc_agent_logs\gc_agent.log
• Server s podporou arc: C:\ProgramData\GuestConfig\arc_policy_logs\gc_agent.log

Linux

• Virtuální počítač Azure: /var/lib/GuestConfig/gc_agent_logs/gc_agent.log
• Server s podporou arc: /var/lib/GuestConfig/arc_policy_logs/gc_agent.log

Vzdálené shromažďování protokolů

Prvním krokem při řešení potíží s konfiguracemi počítačů nebo moduly by měly být použití rutin podle kroků v tématu Testování artefaktů balíčku konfigurace počítače. Pokud to není úspěšné, může vám s diagnostikou problémů pomoct shromažďování protokolů klienta.

Windows

Zachytávání informací ze souborů protokolu pomocí příkazu Spuštění virtuálního počítače Azure může být užitečné v následujícím příkladu skriptu PowerShellu.

$linesToIncludeBeforeMatch = 0
$linesToIncludeAfterMatch  = 10
$params = @{
    Path = 'C:\ProgramData\GuestConfig\gc_agent_logs\gc_agent.log'
    Pattern = @(
        'DSCEngine'
        'DSCManagedEngine'
    )
    CaseSensitive = $true
    Context = @(
        $linesToIncludeBeforeMatch
        $linesToIncludeAfterMatch
    )
}
Select-String @params | Select-Object -Last 10

Linux

Zachytávání informací ze souborů protokolu pomocí příkazu Spuštění virtuálního počítače Azure může být užitečné v následujícím příkladu skriptu Bash.

LINES_TO_INCLUDE_BEFORE_MATCH=0
LINES_TO_INCLUDE_AFTER_MATCH=10
LOGPATH=/var/lib/GuestConfig/gc_agent_logs/gc_agent.log
egrep -B $LINES_TO_INCLUDE_BEFORE_MATCH -A $LINES_TO_INCLUDE_AFTER_MATCH 'DSCEngine|DSCManagedEngine' $LOGPATH | tail

Soubory agenta

Agent konfigurace počítače stáhne balíčky obsahu do počítače a extrahuje obsah. Pokud chcete ověřit, jaký obsah se stáhl a uložil, zobrazte umístění složek v následujícím seznamu.

• Windows: C:\ProgramData\guestconfig\configuration
• Linux: /var/lib/GuestConfig/Configuration

Funkce opensourcového modulu nxtools

Vydali jsme nový opensourcový modul nxtools, který uživatelům PowerShellu usnadní správu linuxových systémů.

Tento modul pomáhá při správě běžných úloh, jako jsou:

• Správa uživatelů a skupin
• Provádění operací systému souborů
• Správa služeb
• Provádění operací archivace
• Správa balíčků

Tento modul obsahuje prostředky DSC založené na třídách pro linuxové a integrované konfigurační balíčky počítačů.

Pokud chcete poskytnout zpětnou vazbu k této funkci, otevřete problém v dokumentaci. V současné době nepřijímáme žádosti o přijetí změn pro tento projekt a podpora je nejlepší.

Ukázky konfigurace počítače

Ukázky předdefinovaných zásad konfigurace počítače jsou k dispozici v následujících umístěních:

• Předdefinované definice zásad – Konfigurace hosta
• Integrované iniciativy – Konfigurace hosta
• Ukázky úložiště GitHub pro Azure Policy
• Ukázkové moduly prostředků DSC

Další kroky

• Nastavte vývojové prostředí vlastního konfiguračního balíčku počítače.
• Vytvořte artefakt balíčku pro konfiguraci počítače.
• Test artefaktu balíčku ve vlastním vývojovém prostředí
• Pomocí modulu GuestConfiguration vytvořte definici služby Azure Policy pro správu vašeho prostředí ve velkém měřítku.
• Přiřazení vlastní definice zásad pomocí webu Azure Portal
• Zjistěte, jak zobrazit podrobnosti o dodržování předpisů pro přiřazení zásad konfigurace počítače.