Voraussetzungen für die Azure-Computerkonfiguration

Azure Machine Configuration bietet systemeigene Funktionen zum Überwachen oder Konfigurieren von Betriebssystemeinstellungen als Code, sowohl für Computer, die in Azure ausgeführt werden, als auch für hybride Arc-fähige Computer. Bevor Sie die Computerkonfiguration zum Verwalten Ihrer Umgebung verwenden können, müssen Sie die Voraussetzungen für den Dienst aktivieren.

Computerkonfiguration aktivieren

Sehen Sie sich die folgenden ausführlichen Informationen an, um den Status der Computer in Ihrer Umgebung zu verwalten, einschließlich Computern in Azure und Arc-fähiger Server.

Ressourcenanbieter

Um das Computerkonfigurationsfeature von Azure Policy verwenden zu können, müssen Sie den Microsoft.GuestConfiguration-Ressourcenanbieter registrieren. Wenn die Zuweisung einer Computerkonfigurationsrichtlinie über das Portal erfolgt oder das Abonnement in Microsoft Defender for Cloud registriert ist, wird der Ressourcenanbieter automatisch registriert. Hierfür können Sie über das Portal, die Azure PowerShell oder Azure CLI manuell registrieren.

Bereitstellen von Anforderungen für virtuelle Azure-Computer

Für die Verwaltung von Einstellungen innerhalb eines Computers ist eine VM-Erweiterung aktiviert, und der Computer muss über eine systemseitig verwaltete Identität verfügen. Die Erweiterung lädt die zutreffenden Computerkonfigurationszuweisungen sowie die entsprechenden Abhängigkeiten herunter. Die Identität wird verwendet, um den Computer zu authentifizieren, wenn Lese- und Schreibvorgänge im Computerkonfigurationsdienst ausgeführt werden. Bei Arc-fähigen Servern wird die Erweiterung nicht benötigt, da sie bereits im Arc Connected Machine-Agent enthalten ist.

Wenn Sie die Erweiterung im großen Stil auf vielen Computern bereitstellen möchten, weisen Sie die Richtlinieninitiative Deploy prerequisites to enable Guest Configuration policies on virtual machines zu einer Verwaltungsgruppe, einem Abonnement oder einer Ressourcengruppe mit den Maschinen, die Sie verwalten möchten.

Wenn Sie es vorziehen, die Erweiterung und verwaltete Identität auf einem einzelnen Computer bereitzustellen, lesen Sie Konfigurieren von verwalteten Identitäten für Azure-Ressourcen auf einem virtuellen Computer über das Azure-Portal.

Für die Verwendung von Gastkonfigurationspaketen, die Konfigurationen anwenden, ist die Azure-VM-Gastkonfigurationserweiterung, Version 1.26.24 oder höher, erforderlich.

Zuweisen von Richtlinien zu Computern außerhalb von Azure

Die für die Computerkonfiguration verfügbaren Überwachungsrichtliniendefinitionen umfassen den Ressourcentyp Microsoft.HybridCompute/machines. Alle Computer, für die ein Onboarding auf Servern mit Azure Arc-Unterstützung durchgeführt wurde und die sich im Geltungsbereich der Richtlinienzuweisung befinden, werden automatisch eingeschlossen.

Anforderungen für verwaltete Identitäten

Durch die Richtliniendefinitionen in der Initiative Deploy prerequisites to enable guest configuration policies on virtual machines wird eine systemseitig zugewiesene verwaltete Identität aktiviert, sofern noch keine solche vorhanden ist. Die Initiative enthält zwei Richtliniendefinitionen, durch die die Identitätserstellung verwaltet wird. Die if-Bedingungen in den Richtliniendefinitionen gewährleisten das ordnungsgemäße Verhalten basierend auf dem aktuellen Zustand der Computerressource in Azure.

Wenn der Computer derzeit über keine verwalteten Identitäten verfügt, ist die effektive Richtlinie: Systemseitig zugewiesene verwaltete Identität hinzufügen, um Gastkonfigurationszuweisungen auf VMs ohne Identität zu aktivieren.

Wenn der Computer derzeit über eine benutzerseitig zugewiesene Systemidentität verfügt, ist die effektive Richtlinie: Systemseitig zugewiesene verwaltete Identität hinzufügen, um Gastkonfigurationszuweisungen auf VMs mit einer benutzerseitig zugewiesenen verwalteten Identität zu aktivieren.

Für die Erweiterung festgelegte Grenzwerte

Um die Auswirkungen der Erweiterung auf die auf dem Computer ausgeführten Anwendungen zu beschränken, darf der Computerkonfigurations-Agent höchstens 5 % der CPU auslasten. Diese Einschränkung gilt sowohl für integrierte als auch für angepasste Definitionen. Dies gilt auch für den Computerkonfigurationsdienst im Arc Connected Machine-Agent.

Überprüfungstools

Auf dem Computer verwendet der Computerkonfigurations-Agent für die Ausführung von Tasks lokale Tools.

In der folgenden Tabelle sind die lokalen Tools aufgeführt, die unter den jeweiligen unterstützten Betriebssystemen verwendet werden. Bei integrierten Inhalten werden diese Tools in der Computerkonfiguration automatisch geladen.

Validierungshäufigkeit

Der Gastkonfigurations-Agent überprüft alle 5 Minuten, ob Gastzuweisungen hinzugefügt oder geändert wurden. Nachdem eine Gastzuweisung empfangen wurde, werden die Einstellungen für diese Konfiguration alle 15 Minuten erneut überprüft. Wenn mehrere Konfigurationen zugewiesen sind, werden diese einzeln nacheinander ausgewertet. Zeitintensive Konfigurationen wirken sich auf das Intervall für alle Konfigurationen aus, da die nächste Konfiguration erst ausgeführt werden kann, wenn die vorherige abgeschlossen ist.

Die Ergebnisse werden nach Abschluss der Überprüfung an den Computerkonfigurationsdienst gesendet. Wenn ein Auswertungstrigger für Richtlinien auftritt, wird der Status des Computers an den Ressourcenanbieter der Computerkonfiguration übermittelt. Dieses Update bewirkt, dass Azure Policy die Azure Resource Manager-Eigenschaften auswertet. Bei einer bei Bedarf ausgelösten Auswertung durch Azure Policy wird der aktuelle Wert beim Ressourcenanbieter der Computerkonfiguration abgerufen. Es wird jedoch keine neue Aktivität auf dem Computer ausgelöst. Der Status wird anschließend an Azure Resource Graph übermittelt.

Nächste Schritte

Nachdem Sie nun die Voraussetzungen für die Einrichtung verstanden haben, fahren Sie mit dem nächsten Artikel fort, um mehr über Netzwerkanforderungen zu erfahren:

Netzwerkanforderungen