Managed virtual machines¶
Sommige workloads hebben virtual machines (VM's) nodig: software die niet op een platformservice draait, een lift-and-shift van een bestaande applicatie, of een tool die volledige controle over het besturingssysteem vraagt. De Managed VM-module is een optionele bouwsteen van het platform die zulke VM's in je spoke uitrolt met een vaste baseline: securityinstellingen, toegang via groepen, monitoring, back-up en patching.
Optioneel aanbod
De Managed VM-module is geen onderdeel van de kern van de MCP hub en spoke. Of hij beschikbaar is, welke versie je platform draait en welke opties zijn ingeschakeld, hangt af van je platform. Vraag het je platformteam. De namen, standaardwaarden en schema's op deze pagina's zijn de gebruikelijke waarden van de module; je platform kan afwijken. Operators: zie Managed VM-module (platformzijde) en het runbook voor de review van pull requests. Lees voor de scope van de service en de grenzen ervan de servicebeschrijving.
Terminologie¶
| Term | Betekenis |
|---|---|
| Managed VM deployment | De ondersteunende infrastructuur die de module in een spoke uitrolt zodat managed VM's kunnen bestaan (bijvoorbeeld de back-upvaults, een Key Vault en alertregels). Eén per spoke. |
| VM-configuratie | De beschrijving van een of meer identieke VM's: grootte, besturingssysteem, disks, eigenaren, back-up, onderhoudsvenster. |
| VM-configuratieset | Alle VM-configuraties van één Managed VM deployment. |
| Workload | De bedrijfsoplossing waartoe de VM's behoren. Een workload komt meestal overeen met één spoke. |
| Spoke | De Azure subscription van je workload, zie Wat je krijgt. |
Wat je krijgt¶
| Onderdeel | Wat de module doet | Pagina |
|---|---|---|
| Servicebeschrijving | Wat er wordt aangeboden, hoe wijzigingen worden doorgevoerd en wat de grenzen zijn | Servicebeschrijving |
| Aanvragen en wijzigen | Standaardaanvragen voor een nieuwe deployment, een nieuwe of gewijzigde VM-configuratie, en verwijdering | Aanvragen en wijzigen |
| Pull request | Bereid de wijziging zelf voor, en wat de reviewer controleert | Een Managed VM pull request voorbereiden |
| Besturingssysteem | Linux- of Windows-images, en waar de support eindigt | Besturingssysteem |
| Back-up | Recovery Services vault (en optioneel Backup Vault) met een standaardpolicy | Back-up en restore |
| Updates | Azure Update Manager met maintenance configurations die via een tag worden gekozen | Updates en patching |
| Kosten | Auto-shutdown-schema via tag, reservations, disk review | Kostenoptimalisatie |
| On-premises servers | Optionele onboarding met Azure Arc | Azure Arc |
Securitystandaarden¶
| Instelling | Effect |
|---|---|
| Encryption at host | Versleutelt data op de VM-host, inclusief tijdelijke disks en disk caches. De feature moet op de subscription zijn geregistreerd (Microsoft Learn). |
| Secure Boot | Tijdens het opstarten draait alleen vertrouwde, ondertekende bootsoftware. |
| vTPM | Een virtuele TPM 2.0-chip voor sleutels, certificaten en metingen (bijvoorbeeld BitLocker). |
| Storage account van de deployment | Publieke netwerktoegang en shared access keys zijn uitgeschakeld. |
| Boot diagnostics | Ingeschakeld, kan niet worden uitgezet. |
| Defender for Cloud-plannen | Standaard CloudPosture en VirtualMachines. Het platform kan de plannen wijzigen. |
Secure Boot en vTPM zijn instellingen van de VM-configuratie die op true moeten staan.
Toegang¶
- Per VM-configuratie worden twee groepen aangemaakt: de ene geeft de rol Virtual Machine Administrator Login, de andere Virtual Machine User Login.
- In de VM-configuratie worden een of meer eigenaren genoemd (mensen in Entra ID). Eigenaren zijn beheerders, kunnen de Serial Console gebruiken en bepalen wie er nog meer toegang krijgt.
- Eigenaren voegen leden toe aan de beheerders- of gebruikersgroep (in de portal: open de groep in Microsoft Entra ID en voeg leden toe). Leden zijn eligible en activeren de rol in PIM, zoals beschreven in Toegang, groepen en PIM.
- Als alternatief kan de module access packages aanmaken, zodat eigenaren gebruikers en beheerders toewijzen in het My Access-portaal van Microsoft. Dit is een optie van de VM-configuratie.
- De lokale beheerdersgegevens worden opgeslagen in de Key Vault die met de VM wordt uitgerold.
- Met Entra ID-login (
AAD Login) kunnen gebruikers met hun Entra ID-identiteit inloggen op de VM. Het is een optie per VM-configuratie.
Verbinden¶
Gebruik de centrale Azure Bastion-host: geen enkele VM krijgt een publiek IP-adres, tenzij je die optie expliciet inschakelt en het platform het toestaat. De algemene stappen staan op Verbinden met virtuele machines.
Met Entra ID-login ingeschakeld gebruik je --auth-type "AAD" met de native client van de Azure CLI:
az login
az account set --subscription "<bastion subscription id>"
az network bastion ssh --name "<bastion name>" --resource-group "<bastion resource group>" \
--target-resource-id "<vm resource id>" --auth-type "AAD"
az network bastion rdp --name "<bastion name>" --resource-group "<bastion resource group>" \
--target-resource-id "<vm resource id>" --auth-type "AAD"
Je vindt de resource-ID in de portal: open de VM, kies dan Settings → Properties → Resource ID.
Bekende beperking: RDP-bestand voor VM's met een lange naam
Een Windows-computernaam is beperkt tot 15 tekens. Als de Azure-resourcenaam van de VM langer is, wijkt de computernaam af van de resourcenaam. Het RDP-bestand dat de Azure CLI genereert gebruikt de resourcenaam en kan dan geen verbinding maken.
Workaround: voeg --configure toe aan het commando az network bastion rdp, open het gegenereerde RDP-bestand in een teksteditor
en vervang de waarden van full address en alternate full address door de computernaam (te zien op het tabblad
Overview van de VM in de portal).
Monitoring¶
De module configureert alertregels voor CPU-gebruik, geheugengebruik, schijfgebruik en beschikbaarheid van de VM. Mislukte back-upjobs worden gemeld via de Recovery Services vault (Back-up en restore). Andere opties van de VM-configuratie:
- Change Tracking and Inventory: houdt wijzigingen in software en bestanden op de VM bij.
- Eigen alertregels op Log Analytics-data.
Wie de alerts ontvangt, wordt per platform ingesteld. Vraag het je platformteam. Alerts over je applicatie blijven van jou, zie Je workload beheren.
Verantwoordelijkheden¶
| Platformteam | Workload team (VM-eigenaren) | |
|---|---|---|
| Module, baseline, standaardwaarden, nieuwe versies | Ja | |
| VM's uitrollen, van grootte wijzigen of verwijderen na een aanvraag | Ja | Vraagt aan |
| Patchschema en tooling | Ja | Kiest het onderhoudsvenster en de prioriteit, controleert of de applicatie na het patchen werkt |
| Back-upvault, policy en alerts | Ja | Bepaalt de retentie, voert restores uit en test ze |
| Binnen het besturingssysteem (disks, services, software, antivirus) | Ja | |
| Applicatie, data en gebruikers op de VM | Ja |
De algemene verdeling staat in Verantwoordelijkheden. De module en de support ervoor eindigen bij de grens van het besturingssysteem: een disk partitioneren of mounten is bijvoorbeeld van jou.