Grundlegendes zur Azure-Computerkonfiguration

Das Azure Policy-Feature „Computerkonfiguration“ bietet native Funktionalität zum Überprüfen oder Konfigurieren von Betriebssystemeinstellungen als Code, sowohl für in Azure ausgeführte Computer als auch für hybride Arc-fähige Computer. Sie können das Feature direkt computerbezogen nutzen oder mit Azure Policy im großen Stil orchestrieren.

Konfigurationsressourcen in Azure sind als Erweiterungsressourcen konzipiert. Sie können sich jede Konfiguration als zusätzlichen Satz von Eigenschaften für den Computer vorstellen. Konfigurationen können Einstellungen enthalten wie:

• Betriebssystemeinstellungen
• Die Konfiguration oder das Vorhandensein der Anwendung
• Umgebungseinstellungen

Konfigurationen unterscheiden sich von Richtliniendefinitionen. „Computerkonfiguration“ nutzt Azure Policy, um Computern Konfigurationen dynamisch zuzuweisen. Sie können Computern Konfigurationen auch manuell oder mithilfe anderer Azure-Dienste wie AutoManage zuweisen.

Beispiele für jedes Szenario sind in der folgenden Tabelle aufgeführt.

Sie können die Ergebnisse aus Konfigurationen auf der Seite Gastzuweisungen einstellungsbezogen anzeigen. Wenn eine Azure Policy-Zuweisung die Konfiguration orchestriert hat, können Sie auf der Seite Konformitätsdetails den Link „Zuletzt ausgewertete Ressource“ auswählen.

Durchsetzungsmodi für benutzerdefinierte Richtlinien

Um die Durchsetzung und Überwachung von Servereinstellungen, Anwendungen und Workloads zu verbessern, bietet die Computerkonfiguration drei Hauptdurchsetzungsmodi für jede Richtlinienzuweisung, wie in der folgenden Tabelle beschrieben.

Für dieses Dokument ist ein Video zur exemplarischen Vorgehensweise verfügbar. (Update in Kürze verfügbar)

Computerkonfiguration aktivieren

Sehen Sie sich die folgenden ausführlichen Informationen an, um den Status der Computer in Ihrer Umgebung zu verwalten, einschließlich Computern in Azure und Arc-fähiger Server.

Ressourcenanbieter

Um das Computerkonfigurationsfeature von Azure Policy verwenden zu können, müssen Sie den Microsoft.GuestConfiguration-Ressourcenanbieter registrieren. Wenn die Zuweisung einer Computerkonfigurationsrichtlinie über das Portal erfolgt oder das Abonnement in Microsoft Defender für Cloud registriert ist, wird der Ressourcenanbieter automatisch registriert. Hierfür können Sie über das Portal, die Azure PowerShell oder Azure CLI manuell registrieren.

Bereitstellen von Anforderungen für virtuelle Azure-Computer

Für die Verwaltung von Einstellungen innerhalb eines Computers ist eine VM-Erweiterung aktiviert, und der Computer muss über eine systemseitig verwaltete Identität verfügen. Die Erweiterung lädt die zutreffenden Computerkonfigurationszuweisungen sowie die entsprechenden Abhängigkeiten herunter. Die Identität wird verwendet, um den Computer zu authentifizieren, wenn Lese- und Schreibvorgänge im Computerkonfigurationsdienst ausgeführt werden. Bei Arc-fähigen Servern wird die Erweiterung nicht benötigt, da sie bereits im Arc Connected Machine-Agent enthalten ist.

Wenn Sie die Erweiterung im großen Stil auf vielen Computern bereitstellen möchten, weisen Sie die Richtlinieninitiative Deploy prerequisites to enable Guest Configuration policies on virtual machines zu einer Verwaltungsgruppe, einem Abonnement oder einer Ressourcengruppe mit den Maschinen, die Sie verwalten möchten.

Wenn Sie es vorziehen, die Erweiterung und verwaltete Identität auf einem einzelnen Computer bereitzustellen, lesen Sie Konfigurieren von verwalteten Identitäten für Azure-Ressourcen auf einem virtuellen Computer über das Azure-Portal.

Für die Verwendung von Gastkonfigurationspaketen, die Konfigurationen anwenden, ist die Azure-VM-Gastkonfigurationserweiterung, Version 1.26.24 oder höher, erforderlich.

Für die Erweiterung festgelegte Grenzwerte

Um die Auswirkungen der Erweiterung auf die auf dem Computer ausgeführten Anwendungen zu beschränken, darf der Computerkonfigurations-Agent höchstens 5 % der CPU auslasten. Diese Einschränkung gilt sowohl für integrierte als auch für angepasste Definitionen. Dies gilt auch für den Computerkonfigurationsdienst im Arc Connected Machine-Agent.

Überprüfungstools

Auf dem Computer verwendet der Computerkonfigurations-Agent für die Ausführung von Tasks lokale Tools.

In der folgenden Tabelle sind die lokalen Tools aufgeführt, die unter den jeweiligen unterstützten Betriebssystemen verwendet werden. Bei integrierten Inhalten werden diese Tools in der Computerkonfiguration automatisch geladen.

Validierungshäufigkeit

Der Gastkonfigurations-Agent überprüft alle 5 Minuten, ob Gastzuweisungen hinzugefügt oder geändert wurden. Nachdem eine Gastzuweisung empfangen wurde, werden die Einstellungen für diese Konfiguration alle 15 Minuten erneut überprüft. Wenn mehrere Konfigurationen zugewiesen sind, werden diese einzeln nacheinander ausgewertet. Zeitintensive Konfigurationen wirken sich auf das Intervall für alle Konfigurationen aus, da die nächste Konfiguration erst ausgeführt werden kann, wenn die vorherige abgeschlossen ist.

Die Ergebnisse werden nach Abschluss der Überprüfung an den Computerkonfigurationsdienst gesendet. Wenn ein Auswertungstrigger für Richtlinien auftritt, wird der Status des Computers an den Ressourcenanbieter der Computerkonfiguration übermittelt. Dieses Update bewirkt, dass Azure Policy die Azure Resource Manager-Eigenschaften auswertet. Bei einer bei Bedarf ausgelösten Auswertung durch Azure Policy wird der aktuelle Wert beim Ressourcenanbieter der Computerkonfiguration abgerufen. Es wird jedoch keine neue Aktivität auf dem Computer ausgelöst. Der Status wird anschließend an Azure Resource Graph übermittelt.

Unterstützte Clienttypen

Richtliniendefinitionen für die Computerkonfiguration umfassen neue Versionen. Ältere Versionen von Betriebssystemen, die im Azure Marketplace verfügbar sind, sind ausgeschlossen, wenn der Gastkonfigurationsclient nicht kompatibel ist. Darüber hinaus werden Linux-Serverversionen, die von ihren jeweiligen Herausgebern nicht mehr unterstützt werden, von der Supportmatrix ausgeschlossen.

In der folgenden Tabelle werden die für Azure-Images unterstützten Betriebssysteme aufgeführt. Die Angabe .x steht symbolisch für neue Nebenversionen von Linux-Distributionen.

* Red Hat CoreOS wird nicht unterstützt.

Benutzerdefinierte VM-Images werden von Richtliniendefinitionen für „Computerkonfiguration“ unterstützt, sofern es sich um eines der Betriebssysteme in der vorherigen Tabelle handelt. Die Computerkonfiguration unterstützt VMSS Uniform nicht, unterstützt aber VMSS Flex.

Netzwerkanforderungen

Virtuelle Azure-Computer können entweder ihren lokalen virtuellen Netzwerkadapter (vNIC) oder Azure Private Link verwenden, um mit dem Computerkonfigurationsdienst zu kommunizieren.

Computer mit Azure Arc-Unterstützung stellen mithilfe der lokalen Netzwerkinfrastruktur eine Verbindung her, um Azure-Dienste zu erreichen und den Compliancestatus zu melden.

Im Folgenden finden Sie eine Liste der Azure Storage-Endpunkte, die für Azure-VMs und VMs mit Azure Arc-Unterstützung erforderlich sind, um mit dem Ressourcenanbieter für die Computerkonfiguration in Azure zu kommunizieren:

• oaasguestconfigac2s1.blob.core.windows.net
• oaasguestconfigacs1.blob.core.windows.net
• oaasguestconfigaes1.blob.core.windows.net
• oaasguestconfigases1.blob.core.windows.net
• oaasguestconfigbrses1.blob.core.windows.net
• oaasguestconfigbrss1.blob.core.windows.net
• oaasguestconfigccs1.blob.core.windows.net
• oaasguestconfigces1.blob.core.windows.net
• oaasguestconfigcids1.blob.core.windows.net
• oaasguestconfigcuss1.blob.core.windows.net
• oaasguestconfigeaps1.blob.core.windows.net
• oaasguestconfigeas1.blob.core.windows.net
• oaasguestconfigeus2s1.blob.core.windows.net
• oaasguestconfigeuss1.blob.core.windows.net
• oaasguestconfigfcs1.blob.core.windows.net
• oaasguestconfigfss1.blob.core.windows.net
• oaasguestconfiggewcs1.blob.core.windows.net
• oaasguestconfiggns1.blob.core.windows.net
• oaasguestconfiggwcs1.blob.core.windows.net
• oaasguestconfigjiws1.blob.core.windows.net
• oaasguestconfigjpes1.blob.core.windows.net
• oaasguestconfigjpws1.blob.core.windows.net
• oaasguestconfigkcs1.blob.core.windows.net
• oaasguestconfigkss1.blob.core.windows.net
• oaasguestconfigncuss1.blob.core.windows.net
• oaasguestconfignes1.blob.core.windows.net
• oaasguestconfignres1.blob.core.windows.net
• oaasguestconfignrws1.blob.core.windows.net
• oaasguestconfigqacs1.blob.core.windows.net
• oaasguestconfigsans1.blob.core.windows.net
• oaasguestconfigscuss1.blob.core.windows.net
• oaasguestconfigseas1.blob.core.windows.net
• oaasguestconfigsecs1.blob.core.windows.net
• oaasguestconfigsfns1.blob.core.windows.net
• oaasguestconfigsfws1.blob.core.windows.net
• oaasguestconfigsids1.blob.core.windows.net
• oaasguestconfigstzns1.blob.core.windows.net
• oaasguestconfigswcs1.blob.core.windows.net
• oaasguestconfigswns1.blob.core.windows.net
• oaasguestconfigswss1.blob.core.windows.net
• oaasguestconfigswws1.blob.core.windows.net
• oaasguestconfiguaecs1.blob.core.windows.net
• oaasguestconfiguaens1.blob.core.windows.net
• oaasguestconfigukss1.blob.core.windows.net
• oaasguestconfigukws1.blob.core.windows.net
• oaasguestconfigwcuss1.blob.core.windows.net
• oaasguestconfigwes1.blob.core.windows.net
• oaasguestconfigwids1.blob.core.windows.net
• oaasguestconfigwus2s1.blob.core.windows.net
• oaasguestconfigwus3s1.blob.core.windows.net
• oaasguestconfigwuss1.blob.core.windows.net

Kommunizieren über virtuelle Netzwerke in Azure

Für die Kommunikation mit dem Ressourcenanbieter von „Computerkonfiguration“ in Azure benötigen Computer ausgehenden Zugriff auf Azure-Rechenzentren über Port 443*. Wenn ein Netzwerk in Azure keinen ausgehenden Datenverkehr zulässt, müssen Ausnahmen über Netzwerksicherheitsgruppen-Regeln konfiguriert werden. Die DiensttagsAzureArcInfrastructure und Storage können verwendet werden, um auf den Gastkonfigurations- und Storage-Dienst zu verweisen, damit die Liste der IP-Adressbereiche für Azure-Rechenzentren nicht manuell geführt werden muss. Beide Tags sind erforderlich, da Inhaltspakete für „Computerkonfiguration“ von Azure Storage gehostet werden.

Kommunizieren über Private Link in Azure

Für die Kommunikation mit dem Computerkonfigurationsdienst können virtuelle Computer eine private Verbindung verwenden. Wenden Sie ein Tag mit dem Namen EnablePrivateNetworkGC und dem Wert TRUE an, um dieses Feature zu aktivieren. Das Tag kann vor oder nach der Anwendung der Richtliniendefinitionen der Computerkonfiguration auf den Computer angewendet werden.

Der Datenverkehr wird mithilfe der virtuellen öffentlichen IP-Adresse von Azure weitergeleitet, um einen sicheren, authentifizierten Kanal mit Azure-Plattformressourcen einzurichten.

Kommunikation über öffentliche Endpunkte außerhalb von Azure

Server, die sich in lokalen Umgebungen oder in anderen Clouds befinden, können mithilfe der Computerkonfiguration verwaltet werden, indem sie mit Azure Arc verbunden werden.

Lassen Sie bei Servern mit Azure Arc-Unterstützung den Datenverkehr anhand der folgenden Muster zu:

• Port: Für ausgehenden Zugriff auf das Internet ist nur TCP 443 erforderlich
• Globale URL: *.guestconfiguration.azure.com

Unter Netzwerkanforderungen für Server mit Azure Arc-Unterstützung finden Sie eine vollständige Liste aller Netzwerkendpunkte, die vom Azure Connected Machine-Agent für wichtige Azure Arc- und Computerkonfigurationsszenarien erforderlich sind.

Kommunikation über Private Link außerhalb von Azure

Bei Verwendung einer privaten Verbindung mit Arc-fähigen Servern werden integrierte Richtlinienpakete automatisch über die private Verbindung heruntergeladen. Sie müssen auf dem Arc-fähigen Server keine Tags festlegen, um dieses Feature zu aktivieren.

Zuweisen von Richtlinien zu Computern außerhalb von Azure

Die für die Computerkonfiguration verfügbaren Überwachungsrichtliniendefinitionen umfassen den Ressourcentyp Microsoft.HybridCompute/machines. Alle Computer, für die ein Onboarding auf Servern mit Azure Arc-Unterstützung durchgeführt wurde und die sich im Geltungsbereich der Richtlinienzuweisung befinden, werden automatisch eingeschlossen.

Anforderungen für verwaltete Identitäten

Durch die Richtliniendefinitionen in der Initiative Deploy prerequisites to enable guest configuration policies on virtual machines wird eine systemseitig zugewiesene verwaltete Identität aktiviert, sofern noch keine solche vorhanden ist. Die Initiative enthält zwei Richtliniendefinitionen, durch die die Identitätserstellung verwaltet wird. Die if-Bedingungen in den Richtliniendefinitionen gewährleisten das ordnungsgemäße Verhalten basierend auf dem aktuellen Zustand der Computerressource in Azure.

Wenn der Computer derzeit über keine verwalteten Identitäten verfügt, ist die effektive Richtlinie: Systemseitig zugewiesene verwaltete Identität hinzufügen, um Gastkonfigurationszuweisungen auf VMs ohne Identität zu aktivieren.

Wenn der Computer derzeit über eine benutzerseitig zugewiesene Systemidentität verfügt, ist die effektive Richtlinie: Systemseitig zugewiesene verwaltete Identität hinzufügen, um Gastkonfigurationszuweisungen auf VMs mit einer benutzerseitig zugewiesenen verwalteten Identität zu aktivieren.

Verfügbarkeit

Kunden, die eine hochverfügbare Lösung entwerfen, sollten die Anforderungen an die Redundanzplanung für virtuelle Computer berücksichtigen, da Gastzuweisungen Erweiterungen von Computerressourcen in Azure sind. Wenn Gastzuweisungsressourcen in einer gekoppelten Azure-Region bereitgestellt werden, können Sie Berichte über Gastzuweisungen anzeigen, wenn mindestens eine Region in der Kopplung verfügbar ist. Wenn die Azure-Region nicht gekoppelt und nicht mehr verfügbar ist, können Sie nicht auf Berichte zu einer Gastzuweisung zugreifen. Nach Wiederherstellung der Region können Sie wieder auf die Berichte zugreifen.

Bewährte hat sich die Methode, allen Computern in der Lösung für hochverfügbare Anwendungen die gleichen Richtliniendefinitionen mit den gleichen Parametern zuzuweisen. Dies gilt insbesondere für Szenarien, in denen virtuelle Computer in Verfügbarkeitsgruppen hinter einer Lastenausgleichslösung bereitgestellt werden. Eine einzelne Richtlinienzuweisung für alle Computer ist mit dem geringsten Verwaltungsaufwand verbunden.

Stellen Sie für durch Azure Site Recovery geschützte Computer sicher, dass sie sich am primären und sekundären Standort innerhalb des Bereichs von Azure Policy-Zuweisungen mit denselben Definitionen befinden. Verwenden Sie für beide Standorte die gleichen Parameterwerte.

Datenresidenz

„Computerkonfiguration“ speichert und verarbeitet Kundendaten. Standardmäßig werden Kundendaten in die gekoppelte Region repliziert. Für die Regionen Singapur, Brasilien, Süden und Asien, Osten werden alle Kundendaten in der Region gespeichert und verarbeitet.

Problembehandlung bei der Computerkonfiguration

Weitere Informationen zur Problembehandlung bei der Computerkonfiguration finden Sie unter Problembehandlung mit Azure Policy.

Mehrere Zuweisungen

Derzeit unterstützen nur einige integrierte Richtliniendefinitionen für „Computerkonfiguration“ mehrere Zuweisungen. Alle benutzerdefinierten Richtlinien unterstützen jedoch standardmäßig mehrere Zuweisungen, wenn Sie mit der neuesten Version des PowerShell-Moduls GuestConfiguration Computerkonfigurationspaketen und -richtlinien erstellt haben.

Es folgt die Liste integrierter Richtliniendefinitionen für „Computerkonfiguration“, die mehrere Zuweisungen unterstützen:

Zuweisungen zu Azure-Verwaltungsgruppen

Azure Policy-Definitionen in der Kategorie Guest Configuration können Verwaltungsgruppen zugewiesen werden, wenn die Auswirkung AuditIfNotExists oder DeployIfNotExists ist.

Protokolldateien des Clients

Die Computerkonfigurationserweiterung schreibt Protokolldateien an die folgenden Speicherorte:

Windows

• Azure-VM: C:\ProgramData\GuestConfig\gc_agent_logs\gc_agent.log
• Arc-fähiger Server: C:\ProgramData\GuestConfig\arc_policy_logs\gc_agent.log

Linux

• Azure-VM: /var/lib/GuestConfig/gc_agent_logs/gc_agent.log
• Arc-fähiger Server: /var/lib/GuestConfig/arc_policy_logs/gc_agent.log

Remotesammeln von Protokollen

Im ersten Schritt bei der Problembehandlung von Computerkonfigurationen oder Modulen sollten die Cmdlets entsprechend den unter Testen von Computerkonfigurations-Paketartefakten beschriebenen Schritten ausgeführt werden. Wenn dies nicht erfolgreich ist, kann das Sammeln von Clientprotokollen helfen, Probleme zu diagnostizieren.

Windows

Erfassen Sie Informationen aus Protokolldateien mithilfe des Azure-VM-Befehls Ausführen, wobei das folgende PowerShell-Beispiel hilfreich sein kann.

$linesToIncludeBeforeMatch = 0
$linesToIncludeAfterMatch  = 10
$params = @{
    Path = 'C:\ProgramData\GuestConfig\gc_agent_logs\gc_agent.log'
    Pattern = @(
        'DSCEngine'
        'DSCManagedEngine'
    )
    CaseSensitive = $true
    Context = @(
        $linesToIncludeBeforeMatch
        $linesToIncludeAfterMatch
    )
}
Select-String @params | Select-Object -Last 10

Linux

Erfassen Sie Informationen aus Protokolldateien mithilfe des Azure VM-Befehls Ausführen, wobei das folgende Bash-Beispiel hilfreich sein kann.

LINES_TO_INCLUDE_BEFORE_MATCH=0
LINES_TO_INCLUDE_AFTER_MATCH=10
LOGPATH=/var/lib/GuestConfig/gc_agent_logs/gc_agent.log
egrep -B $LINES_TO_INCLUDE_BEFORE_MATCH -A $LINES_TO_INCLUDE_AFTER_MATCH 'DSCEngine|DSCManagedEngine' $LOGPATH | tail

Agent-Dateien

Der Computerkonfigurations-Agent lädt Inhaltspakete auf einen Computer herunter und extrahiert deren Inhalte. Um zu überprüfen, welche Inhalte heruntergeladen und gespeichert wurden, sehen Sie sich die Ordnerspeicherorte in der folgenden Liste an.

• Windows: C:\ProgramData\guestconfig\configuration
• Linux: /var/lib/GuestConfig/Configuration

Funktionen des Open-Source-Moduls nxtools

Das neue Open-Source-Modul nxtools wurde veröffentlicht, um die Verwaltung von Linux-Systemen für PowerShell-Benutzer zu vereinfachen.

Das Modul unterstützt Sie bei allgemeinen Aufgaben wie z. B.:

• Verwalten von Benutzern und Gruppen
• Ausführen von Dateisystemvorgängen
• Verwalten von Diensten
• Ausführen von Archivvorgängen
• Verwalten von Paketen

Das Modul enthält klassenbasierte DSC-Ressourcen für Linux sowie integrierte Computerkonfigurationspakete.

Um Feedback zu dieser Funktionalität zu geben, erstellen Sie ein Issue zur Dokumentation. Wir akzeptieren derzeit keine PRs für dieses Projekt, und Unterstützung wird auf bestmögliche Weise bereitgestellt.

Computerkonfigurationsbeispiele

Beispiele für integrierte Computerkonfigurationsrichtlinien finden Sie unter:

• Integrierte Richtliniendefinitionen: Gastkonfiguration
• Integrierte Initiativen: Gastkonfiguration
• Azure Policy-Beispiele: GitHub-Repository
• Beispiel für DSC-Ressourcenmodule

Nächste Schritte

• Richten Sie eine Entwicklungsumgebung für benutzerdefinierte Computerkonfigurationspakete ein.
• Erstellen Sie ein Paketartefakt für die Computerkonfiguration.
• Testen Sie das Paketartefakt aus Ihrer Entwicklungsumgebung.
• Verwenden Sie das GuestConfiguration-Modul, um eine Azure-Richtliniendefinition für die Verwaltung Ihrer Umgebung im großen Maßstab zu erstellen.
• Weisen Sie Ihre Richtliniendefinition mithilfe des Azure-Portals zu.
• Erfahren Sie, wie Sie die Richtlinienzuweisungen Konformitätsdetails für die Maschinenkonfiguration anzeigen.