Daten und Datenschutz für Arc-fähige Server

In diesem Artikel wird der Prozess der Datenerfassung durch den Azure Connected Machine-Agent für Azure Arc-fähige Server erläutert. Dabei wird detailliert beschrieben, wie System-Metadaten erfasst und an Azure gesendet werden. Dieser Artikel beschreibt auch die Protokollierungsmechanismen, die für Azure Arc-fähige Server zur Verfügung stehen, einschließlich des Azure-Aktivitätsprotokolls zur Verfolgung von Serveraktionen.

Von Azure Arc gesammelte Informationen

Im Rahmen seines normalen Vorgangs sammelt der Azure Connected Machine-Agent System-Metadaten und sendet sie im Rahmen seines regelmäßigen Heartbeats an Azure. Diese Metadaten werden in die Azure Arc-fähige Serverressource eingefügt, damit Sie Ihre Server als Teil Ihres Azure-Inventars identifizieren und abfragen können. Azure Arc sammelt keine identifizierbaren Endbenutzerdaten.

Eine vollständige Liste der von Azure Arc gesammelten Metadaten finden Sie unter Instanzmetadaten. Diese Liste wird regelmäßig aktualisiert, um die von der neuesten Version des Azure Connected Machine-Agent gesammelten Daten widerzuspiegeln. Es ist nicht möglich, diese Datensammlung zu deaktivieren, da sie in Azure-Umgebungen verwendet wird, um Ihre Server zu filtern und zu identifizieren.

Um Cloudmetadaten zu sammeln, fragt der Azure Connected Machine-Agent die Instanzmetadaten-Endpunkte für AWS, GCP, Oracle Cloud, Azure Local und Azure ab. Der Agent überprüft jedes Mal, wenn der Dienst „himds“ gestartet wird, ob er sich in einer Cloud befindet. Ihre Sicherheitssoftware stellt möglicherweise fest, dass der Agent im Rahmen dieses Prozesses die folgenden Endpunkte anspricht: 169.254.169.254, 169.254.169.253, und metadata.google.internal.

Alle Daten werden gemäß den Datenschutzstandards von Microsoft verarbeitet.

Datenreplikation und Notfallwiederherstellung

Azure Arc-fähige Server sind ein Software-as-a-Service-Angebot und übernehmen für Sie die Datenreplikation und die Vorbereitung der Notfallwiederherstellung. Wenn Sie die Region auswählen, in der Ihre Daten gespeichert werden sollen, werden diese Daten automatisch in eine andere Region in derselben Geografie repliziert, um sie vor einem regionalen Ausfall zu schützen. Sollte eine Region nicht mehr verfügbar sein, werden die DNS-Einträge automatisch so geändert, dass sie auf die Failover-Region verweisen. Sie müssen nichts unternehmen, und Ihre Agents werden automatisch wieder verbunden, sobald der Failover abgeschlossen ist.

In einigen Geografien unterstützt nur eine Region Azure Arc-fähige Server. In diesen Fällen werden die Daten weiterhin zu Sicherungszwecken in eine andere Region in dieser Geografie repliziert, können aber während eines Ausfalls nicht auf eine andere Region übertragen werden. Sie sehen in Azure weiterhin die Metadaten vom letzten Mal, als Ihre Server einen Heartbeat gesendet haben, können aber keine Änderungen vornehmen oder neue Server anschließen, bis die Funktionalität der Region wiederhergestellt ist. Das Azure Arc-Team prüft regelmäßig Möglichkeiten zur Erweiterung der Regionen, um die Anzahl der Geografien in dieser Konfiguration zu minimieren.

Einhaltung gesetzlicher Standards

Azure Arc wird regelmäßig auf die Einhaltung zahlreicher globaler, regionaler und branchenspezifischer behördlicher Standards geprüft. Eine Zusammenfassungstabelle der Complianceangebote finden Sie unter https://aka.ms/AzureCompliance.

Weitere Informationen zu einem bestimmten Standard und zum Herunterladen von Überwachungsdokumenten finden Sie unter Compliance-Angebote für Azure und andere Microsoft Cloud Services.

Azure-Aktivitätsprotokoll

Sie können das Azure-Aktivitätsprotokoll verwenden, um Aktionen auf einem Azure Arc-fähigen Server zu verfolgen. Aktionen wie die Installation von Erweiterungen auf einem Arc-Server haben eindeutige Vorgangskennungen (die alle mit „Microsoft.HybridCompute“ beginnen), die Sie zum Filtern des Protokolls verwenden können. Erfahren Sie mehr über das Azure Aktivitätsprotokoll und wie Sie Aktivitätsprotokolle länger als 30 Tage aufbewahren können, indem Sie Aktivitätsprotokolldaten an Log Analytics senden.

Lokale Protokolle

Der Azure Connected Machine-Agent führt auf jedem Server eine Reihe von lokalen Protokollen, die für die Problembehandlung oder die Überprüfung nützlich sein können, wenn der Arc-Agent eine Änderung am System vorgenommen hat. Der schnellste Weg, eine Kopie aller Protokolle eines Servers zu erhalten, ist die Ausführung von azcmagent logs, das einen komprimierten Ordner mit allen aktuellen Protokollen für Sie erstellt.

HIMDS-Protokoll

Die HIMDS-Protokolldatei enthält alle Protokolldaten des HIMDS-Diensts. Zu diesen Daten gehören Heartbeat-Informationen, Verbindungs- und Trennungsversuche sowie ein Verlauf der REST-API-Anforderungen für IMDS-Metadaten und verwaltete Identitäts-Tokens von anderen Anwendungen auf dem System.

Betriebssystem	Protokollspeicherort
Fenster	%PROGRAMDATA%\AzureConnectedMachineAgent\Log\himds.log
Linux	/var/opt/azcmagent/log/himds.log

azcmagent CLI-Protokoll

Die azcmagent-Protokolldatei enthält einen Verlauf der Befehle, die über die lokale „azcmagent“ CLI ausgeführt wurden. Dieses Protokoll enthält die Parameter, die beim Verbinden, Trennen oder Ändern der Konfiguration des Agents verwendet werden.

Betriebssystem	Protokollspeicherort
Fenster	%PROGRAMDATA%\AzureConnectedMachineAgent\Log\azcmagent.log
Linux	/var/opt/azcmagent/log/azcmagent.log

Erweiterungs-Manager-Protokoll

Das Erweiterungs-Manager-Protokoll enthält Informationen über Versuche, Erweiterungen auf dem Rechner zu installieren, zu aktualisieren, zu rekonfigurieren und zu deinstallieren.

Betriebssystem	Protokollspeicherort
Fenster	%PROGRAMDATA%\GuestConfig\ext_mgr_logs\gc_ext.log
Linux	/var/lib/GuestConfig/ext_mgr_logs/gc_ext.log

Von einzelnen Erweiterungen können weitere Protokolle generiert werden. Die Protokolle für einzelne Erweiterungen folgen nicht unbedingt einem Standardprotokollformat.

Betriebssystem	Protokollspeicherort
Fenster	%PROGRAMDATA%\GuestConfig\extension_logs*
Linux	/var/lib/GuestConfig/extension_logs/*

Computerkonfigurationsprotokoll

Die Richtlinien-Engine für die Maschinenkonfiguration erstellt Protokolle zur Überprüfung und Umsetzung der Einstellungen auf dem System.

Betriebssystem	Protokollspeicherort
Fenster	%PROGRAMDATA%\GuestConfig\arc_policy_logs\gc_agent.log
Linux	/var/lib/GuestConfig/arc_policy_logs/gc_agent.log