Azure Arc für On-Premises-Server¶
Mit Azure Arc verwaltest du Server außerhalb von Azure (on-premises oder in einer anderen Cloud) mit denselben Azure-Tools wie deine Managed VMs: Update Manager, Monitoring, Defender for Cloud und Azure Policy. Nutze es, wenn die Umgebung bereits Infrastruktur hat. Wenn du neue oder erneuerte Infrastruktur an verteilten Standorten brauchst, schau dir stattdessen Azure Local an.
Optional und plattformspezifisch
Das Arc-Onboarding ist nicht Teil des MCP-Kerns aus hub und spoke. Ob deine Plattform es unterstützt und über welches Modul oder welche pipeline, unterscheidet sich je Plattform. Diese Seite listet die zu klärenden Fragen und die üblichen Bausteine. Details ändern sich mit den Releases von Microsoft: Prüfe immer die Azure-Arc-Dokumentation.
Was du mit einem Arc-fähigen Server tun kannst¶
| Funktion | Hinweise |
|---|---|
| Update Manager | Patche den Server mit einer Maintenance Configuration, wie bei Managed VMs. |
| Monitoring | Installiere den Monitoring-Agent, um Logs an einen Log-Analytics-Workspace zu senden. |
| Defender for Cloud | Verbinde die Nicht-Azure-Maschine über das Portal oder programmatisch mit einer Extension. |
| Azure Policy | Prüfe den Zustand des Servers mit Machine-Configuration-Policies. |
| Run command | Führe PowerShell remote auf der Maschine aus. |
| SSH-Anmeldung | Mit einem privaten Schlüssel oder mit Entra ID. Prüfe, ob Bastion in deiner Situation Arc-Server unterstützt. |
| Windows Admin Center | Erfordert eine aktive Software-Assurance-Lizenz. Remote Desktop und PowerShell im Windows Admin Center fragen nach lokalen Zugangsdaten, nicht nach Entra ID. |
| Azure Site Recovery | Repliziere VMware-VMs, Hyper-V-VMs, physische Server und Azure-Stack-VMs nach Azure für Business Continuity. |
Einen Server onboarden¶
- Erstelle im Azure-Portal mit dem Assistenten das Onboarding-Skript. Wähle subscription, resource group und Region.
- Führe das PowerShell-Skript auf der Maschine aus. Wer es ausführt, braucht Rechte auf der subscription, und die Maschine braucht ausgehenden Zugriff auf Azure über Port 443.
- Verwende bei vielen Servern einen Service Principal für skriptbasierte Installationen des Agents.
Das Onboarding selbst ist kostenlos. Einige Dienste, die du darauf aufsetzt, sind es nicht, zum Beispiel wird Update Manager pro Arc-fähigem Server berechnet. Prüfe die aktuellen Preise.
Netzwerkkonnektivität¶
Alle Arc-Verbindungen sind ausgehendes TCP über HTTPS. Standardmäßig nutzt der Agent die Default-Route ins Internet. Du hast drei Optionen:
| Option | Hinweise |
|---|---|
| Public Endpoint (Standard) | Stelle sicher, dass die On-Premises-Firewall ausgehenden Verkehr nicht blockiert. Erlaube die Service Tags AzureActiveDirectory, AzureTrafficManager, AzureResourceManager, AzureArcInfrastructure und Storage (plus WindowsAdminCenter, wenn du es nutzt) oder die passenden IP-Adressen, sowie die URLs in den Netzwerkanforderungen (zum Beispiel download.microsoft.com und packages.microsoft.com). |
| Proxyserver / Arc Gateway | Der Agent spricht mit einem lokalen Arc-Proxy, dann mit deinem Unternehmens-Proxy, dann mit dem Arc Gateway. Das Arc Gateway ist zum Zeitpunkt der Quelle noch in der Preview. Es lässt sich nicht mit ExpressRoute, Site-to-Site-VPN oder Private Endpoints kombinieren. |
| Private Endpoint (Arc Private Link Scope) | Leitet den Verkehr über ExpressRoute oder ein Site-to-Site-VPN. Ein Private Endpoint kann viele Server bedienen. Nicht der gesamte Verkehr nutzt ihn: Azure Resource Manager, Entra ID und die Control Plane laufen weiterhin über die öffentlichen Endpoints, erlaube diese also in deiner NSG oder firewall. Schritte: Erstelle den Private Link Scope und konfiguriere dann das DNS-Forwarding on-premises. |
Onboarding über das Managed-VM-Modul¶
Wo die Plattform es anbietet, kann das Managed-VM-Modul (oder seine pipeline) auch On-Premises-VMs onboarden:
- Eine JSON-Datei listet die Maschinen und die zu aktivierenden Features auf (Defender, Monitoring, Updates usw.).
- Eine DevOps-pipeline deployt sie.
- Das Modul aktiviert für diese Server Update Manager, Monitoring und Alerting sowie Defender for Cloud.
Frag dein Plattform-Team, ob das verfügbar ist und wie die Anfrage aussieht.