Managed Virtual Machines¶
Manche Workloads brauchen virtuelle Maschinen (VMs): Software, die nicht auf einem Plattformdienst läuft, ein Lift-and-Shift einer bestehenden Anwendung oder ein Tool, das volle Kontrolle über das Betriebssystem benötigt. Das Managed-VM-Modul ist ein optionaler Baustein der Plattform, der solche VMs mit einer festen Baseline in deinem Spoke deployt: Security-Einstellungen, Zugriff über Gruppen, Monitoring, Backup und Patching.
Optionales Angebot
Das Managed-VM-Modul ist nicht Teil des MCP-Kerns aus hub und Spoke. Ob es verfügbar ist, welche Version deine Plattform betreibt und welche Optionen aktiviert sind, hängt von deiner Plattform ab. Frag dein Plattform-Team. Die Namen, Defaults und Zeitpläne auf diesen Seiten sind die üblichen Werte des Moduls; deine Plattform kann abweichen. Für Operatoren: siehe Managed-VM-Modul (Plattformseite) und das Runbook für das Pull-Request-Review. Zum Umfang des Services und seinen Grenzen lies die Servicebeschreibung.
Begriffe¶
| Begriff | Bedeutung |
|---|---|
| Managed-VM-Deployment | Die unterstützende Infrastruktur, die das Modul in einem Spoke deployt, damit Managed VMs existieren können (zum Beispiel die Backup-Vaults, ein Key Vault und Alert-Regeln). Eines pro Spoke. |
| VM-Konfiguration | Die Beschreibung einer oder mehrerer identischer VMs: Größe, Betriebssystem, Disks, Owner, Backup, Wartungsfenster. |
| VM-Konfigurationssatz | Alle VM-Konfigurationen eines Managed-VM-Deployments. |
| Workload | Die Business-Lösung, zu der die VMs gehören. Ein Workload entspricht meist einem Spoke. |
| Spoke | Die Azure subscription deines Workloads, siehe Was du bekommst. |
Was du bekommst¶
| Bereich | Was das Modul tut | Seite |
|---|---|---|
| Servicebeschreibung | Was angeboten wird, wie Änderungen laufen und wo die Grenzen liegen | Servicebeschreibung |
| Anfrage und Änderung | Standardanfragen für ein neues Deployment, eine neue oder geänderte VM-Konfiguration und das Entfernen | Anfrage und Änderung |
| Pull Request | Bereite die Änderung selbst vor und erfahre, was der Reviewer prüft | Einen Managed-VM-Pull-Request vorbereiten |
| Betriebssystem | Linux- oder Windows-Images und wann der Support endet | Betriebssystem |
| Backup | Recovery Services vault (und optional Backup Vault) mit einer Default-Policy | Backup und Wiederherstellung |
| Updates | Azure Update Manager mit Maintenance Configurations, die über einen Tag ausgewählt werden | Updates und Patching |
| Kosten | Auto-Shutdown-Zeitplan per Tag, Reservierungen, Disk-Review | Kostenoptimierung |
| On-Premises-Server | Optionales Onboarding mit Azure Arc | Azure Arc |
Security-Defaults¶
| Einstellung | Wirkung |
|---|---|
| Encryption at host | Verschlüsselt Daten auf dem VM-Host, einschließlich temporärer Disks und Disk-Caches. Das Feature muss auf der subscription registriert sein (Microsoft Learn). |
| Secure Boot | Beim Start läuft nur vertrauenswürdige, signierte Boot-Software. |
| vTPM | Ein virtueller TPM-2.0-Chip für Schlüssel, Zertifikate und Messungen (zum Beispiel BitLocker). |
| Storage Account des Deployments | Öffentlicher Netzwerkzugriff und Shared Access Keys sind deaktiviert. |
| Boot diagnostics | Aktiviert, kann nicht abgeschaltet werden. |
| Defender-for-Cloud-Pläne | Standardmäßig CloudPosture und VirtualMachines. Die Plattform kann die Pläne ändern. |
Secure Boot und vTPM sind Einstellungen der VM-Konfiguration, die true sein sollten.
Zugriff¶
- Pro VM-Konfiguration werden zwei Gruppen erstellt: Die eine gibt die Rolle Virtual Machine Administrator Login, die andere Virtual Machine User Login.
- In der VM-Konfiguration werden ein oder mehrere Owner benannt (Personen in Entra ID). Owner sind Administratoren, können die Serial Console nutzen und entscheiden, wer sonst Zugriff erhält.
- Owner fügen Mitglieder zur Administrator- oder Benutzergruppe hinzu (im Portal: die Gruppe in Microsoft Entra ID öffnen und Mitglieder hinzufügen). Mitglieder sind eligible und aktivieren die Rolle in PIM, wie in Zugriff, Gruppen und PIM beschrieben.
- Alternativ kann das Modul Access Packages erstellen, sodass Owner Benutzer und Administratoren im My Access Portal von Microsoft zuweisen. Das ist eine Option der VM-Konfiguration.
- Die Zugangsdaten des lokalen Administrators werden in dem Key Vault gespeichert, der mit der VM deployt wird.
- Der Entra-ID-Login (
AAD Login) erlaubt Benutzern, sich mit ihrer Entra-ID-Identität an der VM anzumelden. Er ist eine Option pro VM- Konfiguration.
Verbinden¶
Nutze den zentralen Azure-Bastion-Host: Keine VM erhält eine öffentliche IP-Adresse, es sei denn, du aktivierst diese Option ausdrücklich und die Plattform erlaubt es. Die allgemeinen Schritte stehen unter Verbindung zu virtuellen Maschinen.
Ist der Entra-ID-Login aktiviert, verwende --auth-type "AAD" mit dem nativen Client der Azure CLI:
az login
az account set --subscription "<bastion subscription id>"
az network bastion ssh --name "<bastion name>" --resource-group "<bastion resource group>" \
--target-resource-id "<vm resource id>" --auth-type "AAD"
az network bastion rdp --name "<bastion name>" --resource-group "<bastion resource group>" \
--target-resource-id "<vm resource id>" --auth-type "AAD"
Die Resource ID findest du im Portal: Öffne die VM, dann Settings → Properties → Resource ID.
Bekannte Einschränkung: RDP-Datei bei VMs mit langem Namen
Ein Windows-Computername ist auf 15 Zeichen begrenzt. Ist der Azure-Ressourcenname der VM länger, weicht der Computername vom Ressourcennamen ab. Die RDP-Datei, die die Azure CLI erzeugt, verwendet den Ressourcennamen und kann dann keine Verbindung aufbauen.
Workaround: Füge dem Befehl az network bastion rdp die Option --configure hinzu, öffne die erzeugte RDP-Datei in einem Texteditor
und ersetze die Werte von full address und alternate full address durch den Computernamen (er steht im Portal auf dem
Tab Overview der VM).
Monitoring¶
Das Modul konfiguriert Alert-Regeln für CPU-Auslastung, Speicherauslastung, Disk-Auslastung und Verfügbarkeit der VM. Fehlgeschlagene Backup-Jobs lösen Alerts über den Recovery Services vault aus (Backup und Wiederherstellung). Weitere Optionen der VM-Konfiguration:
- Change Tracking and Inventory: verfolgt Änderungen an Software und Dateien auf der VM.
- Eigene Alert-Regeln auf Log-Analytics-Daten.
Wer die Alerts erhält, wird pro Plattform festgelegt. Frag dein Plattform-Team. Alerts zu deiner Anwendung bleiben deine Sache, siehe Workload betreiben.
Verantwortlichkeiten¶
| Plattform-Team | Workload-Team (VM-Owner) | |
|---|---|---|
| Modul, Baseline, Defaults, neue Versionen | Ja | |
| VMs nach einer Anfrage deployen, in der Größe ändern oder entfernen | Ja | Stellt Anfragen |
| Patch-Zeitplan und Tooling | Ja | Wählt Wartungsfenster und Priorität, prüft nach dem Patchen, ob die Anwendung funktioniert |
| Backup-Vault, Policy und Alerts | Ja | Entscheidet über die Aufbewahrung, führt Wiederherstellungen aus und testet sie |
| Innerhalb des Betriebssystems (Disks, Dienste, Software, Virenschutz) | Ja | |
| Anwendung, Daten und Benutzer auf der VM | Ja |
Die allgemeine Aufteilung steht unter Verantwortlichkeiten. Das Modul und sein Support enden an der Grenze des Betriebssystems: Eine Disk zu partitionieren oder einzubinden ist zum Beispiel deine Aufgabe.