Executar runbooks de Automatização numa Função de Trabalho de Runbook Híbrida

Os runbooks executados em um Runbook Worker híbrido normalmente gerenciam recursos no computador local ou em relação aos recursos no ambiente local onde o trabalhador está implantado. Os runbooks na Automação do Azure normalmente gerenciam recursos na nuvem do Azure. Embora sejam usados de forma diferente, os runbooks que são executados na Automação do Azure e os runbooks que são executados em um Trabalhador de Runbook Híbrido são idênticos em estrutura.

Ao criar um runbook para ser executado em um Hybrid Runbook Worker, você deve editar e testar o runbook na máquina que hospeda o trabalhador. A máquina host tem todos os módulos do PowerShell e acesso à rede necessários para gerenciar os recursos locais. Depois de testar o runbook na máquina Hybrid Runbook Worker, você pode carregá-lo no ambiente de Automação do Azure, onde pode ser executado no trabalhador.

Planejar serviços do Azure protegidos por firewall

Habilitar o Firewall do Azure no Armazenamento do Azure, o Cofre da Chave do Azure ou o SQL do Azure bloqueia o acesso dos runbooks da Automação do Azure para esses serviços. O acesso será bloqueado mesmo quando a exceção de firewall para permitir serviços Microsoft fidedignos estiver ativada, uma vez que a Automatização não faz parte da lista de serviços fidedignos. Com um firewall habilitado, o acesso só pode ser feito usando um Runbook Worker híbrido e um ponto de extremidade de serviço de rede virtual.

Planejar o comportamento do trabalho do runbook

A Automação do Azure lida com trabalhos em Runbook Workers híbridos de forma diferente dos trabalhos executados em sandboxes de nuvem. Se você tiver um runbook de longa duração, certifique-se de que ele seja resiliente a possíveis reinicializações. Para obter detalhes sobre o comportamento do trabalho, consulte Trabalhos do Runbook Worker híbrido.

Contas de serviço

Trabalhador híbrido do Windows

Os trabalhos para Trabalhadores de Runbook Híbridos são executados na conta do Sistema local.

Trabalhador híbrido Linux

Configurar permissões de runbook

Defina permissões para que seu runbook seja executado no Hybrid Runbook Worker das seguintes maneiras:

• Peça ao runbook que forneça a sua própria autenticação aos recursos locais.
• Configure a autenticação usando identidades gerenciadas para recursos do Azure.
• Especifique as credenciais do Hybrid Worker para fornecer um contexto de usuário para todos os runbooks.

Usar a autenticação runbook para recursos locais

Se estiver preparando um runbook que forneça sua própria autenticação para recursos, use ativos de credencial e certificado em seu runbook. Há vários cmdlets que permitem especificar credenciais para que o runbook possa ser autenticado em diferentes recursos. O exemplo a seguir mostra uma parte de um runbook que reinicia um computador. Ele recupera credenciais de um ativo de credencial e o nome do computador de um ativo variável e, em seguida, usa esses valores com o Restart-Computer cmdlet.

$Cred = Get-AutomationPSCredential -Name "MyCredential"
$Computer = Get-AutomationVariable -Name "ComputerName"

Restart-Computer -ComputerName $Computer -Credential $Cred

Você também pode usar uma atividade InlineScript . InlineScript Permite executar blocos de código em outro computador com credenciais.

Usar autenticação runbook com identidades gerenciadas

Os Runbook Workers híbridos em máquinas virtuais do Azure podem usar identidades gerenciadas para autenticar recursos do Azure. Usar identidades gerenciadas para recursos do Azure em vez de contas Run As oferece benefícios porque você não precisa:

• Exporte o certificado Run As e importe-o para o Hybrid Runbook Worker.
• Renove o certificado usado pela conta Run As.
• Manipule o objeto de conexão Run As no código do runbook.

Há duas maneiras de usar as Identidades Gerenciadas em scripts do Runbook Worker Híbrido.

1. Use a Identidade Gerenciada atribuída pelo sistema para a conta de automação:

   1. Configure uma Identidade Gerenciada atribuída pelo Sistema para a conta de Automação.

   2. Conceda a essa identidade as permissões necessárias dentro da Assinatura para executar sua tarefa.

   3. Atualize o runbook para usar o cmdlet Connect-AzAccount com o Identity parâmetro para autenticar nos recursos do Azure. Essa configuração reduz a necessidade de usar uma conta Run As e executar o gerenciamento de conta associado.

      # Ensures you do not inherit an AzContext in your runbook
      Disable-AzContextAutosave -Scope Process
      
      # Connect to Azure with system-assigned managed identity
      $AzureContext = (Connect-AzAccount -Identity).context
      
      # set and store context
      $AzureContext = Set-AzContext -SubscriptionName $AzureContext.Subscription -DefaultProfile
      $AzureContext
      
      # Get all VM names from the subscription
      Get-AzVM -DefaultProfile $AzureContext | Select Name
      

   Nota

   Não é possível usar a Identidade Gerenciada pelo Usuário da Conta de Automação em um Runbook Worker Híbrido, ela deve ser a Identidade Gerenciada pelo Sistema da Conta de Automação.

2. Para uma VM do Azure em execução como um Runbook Worker Híbrido, use a Identidade Gerenciada da VM. Nesse caso, você pode usar a Identidade Gerenciada atribuída pelo Usuário da VM OU a Identidade Gerenciada atribuída pelo Sistema da VM.

   Nota

   Isso NÃO funcionará em uma Conta de Automação que tenha sido configurada com uma Identidade Gerenciada de conta de Automação. Assim que a Identidade Gerenciada da conta de Automação estiver habilitada, não será mais possível usar a Identidade Gerenciada da VM e, em seguida, só será possível usar a Identidade Gerenciada Atribuída pelo Sistema de Conta de Automação, conforme mencionado na opção 1 acima.

   Use qualquer uma das seguintes identidades gerenciadas:

   • Identidade gerenciada atribuída ao sistema da VM
   • Identidade gerenciada atribuída pelo usuário da VM

   1. Configure uma identidade gerenciada pelo sistema para a VM.
   2. Conceda a essa identidade as permissões necessárias dentro da assinatura para executar suas tarefas.
   3. Atualize o runbook para usar o cmdlet Connect-Az-Account com o Identity parâmetro para autenticar nos recursos do Azure. Essa configuração reduz a necessidade de usar uma conta Run As e executar o gerenciamento de conta associado.

       # Ensures you do not inherit an AzContext in your runbook
       Disable-AzContextAutosave -Scope Process
   
       # Connect to Azure with system-assigned managed identity
       $AzureContext = (Connect-AzAccount -Identity).context
   
       # set and store context
       $AzureContext = Set-AzContext -SubscriptionName $AzureContext.Subscription -DefaultProfile
       $AzureContext
   
       # Get all VM names from the subscription
       Get-AzVM -DefaultProfile $AzureContext | Select Name
   

Um servidor habilitado para Arc ou VM VMware vSphere habilitado para Arc em execução como um Hybrid Runbook Worker já tem uma Identidade Gerenciada do Sistema integrada atribuída a ele que pode ser usada para autenticação.

1. Você pode conceder a essa Identidade Gerenciada acesso aos recursos em sua assinatura na folha Controle de acesso (IAM) para o recurso adicionando a atribuição de função apropriada.

   

2. Adicione o Azure Arc Managed Identity à função escolhida, conforme necessário.

   

Usar autenticação de runbook com credenciais de trabalhador híbridas

Pré-requisito

• O Trabalhador Híbrido deve ser implantado e a máquina deve estar em estado de execução antes de executar um runbook.

Credenciais de Trabalhador Híbrido Em vez de ter seu runbook fornecer sua própria autenticação para recursos locais, você pode especificar Credenciais de Trabalhador Híbrido para um grupo de Trabalhador de Runbook Híbrido. Para especificar uma Credenciais de Trabalho Híbrido, você deve definir um ativo de credencial que tenha acesso a recursos locais. Esses recursos incluem repositórios de certificados e todos os runbooks executados sob essas credenciais em um Runbook Worker híbrido no grupo.

• O nome de usuário para a credencial deve estar em um dos seguintes formatos:

  • domínio\nome de utilizador
  • username@domain
  • nome de usuário (para contas locais para o computador local)

• Para usar o runbook do PowerShell Export-RunAsCertificateToHybridWorker, você precisa instalar os módulos Az para Automação do Azure na máquina local.

Utilizar um recurso de credencial para um grupo de Funções de Trabalho de Runbook Híbridas

Por predefinição, os trabalhos híbridos são executados no contexto da conta do sistema. No entanto, para executar trabalhos híbridos em um ativo de credencial diferente, siga as etapas:

1. Crie um recurso de credencial com acesso a recursos locais.
2. Abra a Conta de Automatização no portal do Azure.
3. Selecione Grupos de Funções de Trabalho Híbridas e, em seguida, selecione o grupo específico.
4. Selecione Definições.
5. Altere o valor de Credenciais da Função de Trabalho Híbrida de Predefinição para Personalizado.
6. Selecione a credencial e clique em Salvar.
7. Se as seguintes permissões não forem atribuídas para usuários personalizados, os trabalhos poderão ser suspensos.

Iniciar um runbook em um Runbook Worker híbrido

Iniciar um runbook na Automação do Azure descreve diferentes métodos para iniciar um runbook. Iniciar um runbook em um Hybrid Runbook Worker usa uma opção Run on que permite especificar o nome de um grupo Hybrid Runbook Worker. Quando um grupo é especificado, um dos trabalhadores desse grupo recupera e executa o runbook. Se o runbook não especificar essa opção, a Automação do Azure executará o runbook como de costume.

Quando inicia um runbook no portal do Azure, é-lhe apresentada a opção Executar em, para a qual pode selecionar Azure ou Trabalhador Híbrido. Selecione Trabalhador Híbrido para escolher o grupo Trabalhador Runbook Híbrido em uma lista suspensa.

Ao iniciar um runbook usando o PowerShell, use o RunOn parâmetro com o cmdlet Start-AzAutomationRunbook . O exemplo a seguir usa o Windows PowerShell para iniciar um runbook chamado Test-Runbook em um grupo Hybrid Runbook Worker chamado MyHybridGroup.

Start-AzAutomationRunbook -AutomationAccountName "MyAutomationAccount" -Name "Test-Runbook" -RunOn "MyHybridGroup"

Trabalhar com runbooks assinados em um Windows Hybrid Runbook Worker

Você pode configurar um Runbook Worker Híbrido do Windows para executar somente runbooks assinados.

Criar certificado de assinatura

O exemplo a seguir cria um certificado autoassinado que pode ser usado para assinar runbooks. Esse código cria o certificado e o exporta para que o Hybrid Runbook Worker possa importá-lo posteriormente. A impressão digital também é devolvida para uso posterior na referência ao certificado.

# Create a self-signed certificate that can be used for code signing
$SigningCert = New-SelfSignedCertificate -CertStoreLocation cert:\LocalMachine\my `
    -Subject "CN=contoso.com" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" `
    -KeyExportPolicy Exportable `
    -KeyUsage DigitalSignature `
    -Type CodeSigningCert

# Export the certificate so that it can be imported to the hybrid workers
Export-Certificate -Cert $SigningCert -FilePath .\hybridworkersigningcertificate.cer

# Import the certificate into the trusted root store so the certificate chain can be validated
Import-Certificate -FilePath .\hybridworkersigningcertificate.cer -CertStoreLocation Cert:\LocalMachine\Root

# Retrieve the thumbprint for later use
$SigningCert.Thumbprint

Importar certificado e configurar trabalhadores para validação de assinatura

Copie o certificado que você criou para cada Runbook Worker híbrido em um grupo. Execute o script a seguir para importar o certificado e configurar os trabalhadores para usar a validação de assinatura em runbooks.

# Install the certificate into a location that will be used for validation.
New-Item -Path Cert:\LocalMachine\AutomationHybridStore
Import-Certificate -FilePath .\hybridworkersigningcertificate.cer -CertStoreLocation Cert:\LocalMachine\AutomationHybridStore

# Import the certificate into the trusted root store so the certificate chain can be validated
Import-Certificate -FilePath .\hybridworkersigningcertificate.cer -CertStoreLocation Cert:\LocalMachine\Root

# Configure the hybrid worker to use signature validation on runbooks.
Set-HybridRunbookWorkerSignatureValidation -Enable $true -TrustedCertStoreLocation "Cert:\LocalMachine\AutomationHybridStore"

Assine seus runbooks usando o certificado

Com os Runbook Workers híbridos configurados para usar apenas runbooks assinados, você deve assinar runbooks que devem ser usados no Hybrid Runbook Worker. Use o seguinte exemplo de código do PowerShell para assinar esses runbooks.

$SigningCert = ( Get-ChildItem -Path cert:\LocalMachine\My\<CertificateThumbprint>)
Set-AuthenticodeSignature .\TestRunbook.ps1 -Certificate $SigningCert

Quando um runbook tiver sido assinado, você deverá importá-lo para sua conta de automação e publicá-lo com o bloco de assinatura. Para saber como importar runbooks, consulte Importar um runbook.

Trabalhar com runbooks assinados em um Linux Hybrid Runbook Worker

Para poder trabalhar com runbooks assinados, um Linux Hybrid Runbook Worker deve ter o executável GPG na máquina local.

Você executará as seguintes etapas para concluir essa configuração:

• Criar um porta-chaves GPG e um par de chaves
• Disponibilizar o porta-chaves para o Hybrid Runbook Worker
• Verifique se a validação da assinatura está ativada
• Assine um runbook

Criar um porta-chaves GPG e um par de chaves

Para criar o conjunto de chaves GPG e o par de chaves, use a conta nxautomation do Hybrid Runbook Worker.

1. Use o aplicativo sudo para entrar como a conta nxautomation .

   sudo su - nxautomation
   

2. Quando estiver usando nxautomation, gere o par de chaves GPG como root. O GPG orienta-o ao longo dos passos. Você deve fornecer nome, endereço de e-mail, tempo de expiração e senha. Em seguida, você espera até que haja entropia suficiente na máquina para que a chave seja gerada.

   sudo gpg --generate-key
   

3. Como o diretório GPG foi gerado com sudo, você deve alterar seu proprietário para nxautomation usando o seguinte comando como root.

   sudo chown -R nxautomation ~/.gnupg
   

Disponibilizar o porta-chaves para o Hybrid Runbook Worker

Depois que o chaveiro tiver sido criado, disponibilize-o para o Hybrid Runbook Worker. Modifique o arquivo de configurações home/nxautomation/state/worker.conf para incluir o código de exemplo a seguir na seção [worker-optional]file .

gpg_public_keyring_path = /home/nxautomation/run/.gnupg/pubring.kbx

Verifique se a validação da assinatura está ativada

Se a validação de assinatura tiver sido desabilitada na máquina, você deverá ativá-la executando o seguinte comando como root. Substitua <LogAnalyticsworkspaceId> pelo ID do espaço de trabalho.

sudo python /opt/microsoft/omsconfig/modules/nxOMSAutomationWorker/DSCResources/MSFT_nxOMSAutomationWorkerResource/automationworker/scripts/require_runbook_signature.py --true <LogAnalyticsworkspaceId>

Assine um runbook

Depois de configurar a validação de assinatura, use o seguinte comando GPG para assinar o runbook.

gpg --clear-sign <runbook name>

O runbook assinado é chamado <runbook name.asc>.

Agora você pode carregar o runbook assinado na Automação do Azure e executá-lo como um runbook normal.

Registo

Para ajudar a solucionar problemas com seus runbooks em execução em um runbook worker híbrido, os logs são armazenados localmente no seguinte local:

• No Windows em para registro detalhado do C:\ProgramData\Microsoft\System Center\Orchestrator\<version>\SMA\Sandboxes processo de tempo de execução do trabalho. Os eventos de status do trabalho de runbook de alto nível são gravados no log de eventos de Logs de Aplicativos e Serviços\Microsoft-Automation\Operations .

• No Linux, os logs de trabalho híbridos do usuário podem ser encontrados em /home/nxautomation/run/worker.log, e os logs de trabalho do runbook do sistema podem ser encontrados em /var/opt/microsoft/omsagent/run/automationworker/worker.log.

Próximos passos

• Para obter mais informações sobre o Hybrid Runbook Worker, consulte Automation Hybrid Runbook Worker.
• Se seus runbooks não estiverem sendo concluídos com êxito, revise o guia de solução de problemas para falhas de execução de runbooks.
• Para obter mais informações sobre o PowerShell, incluindo referência de idioma e módulos de aprendizagem, consulte Documentos do PowerShell.
• Saiba mais sobre como usar a Política do Azure para gerenciar a execução de runbooks com Runbook Workers Híbridos.
• Para obter uma referência de cmdlet do PowerShell, consulte Az.Automation.