Verschieben von Automation-Updateverwaltung zu Azure Update Manager

Artikel
04/03/2024

Gilt für: ✔️ Windows-VMs ✔️ Linux-VMs ✔️ Lokale Umgebung ✔️ Azure Arc-fähige Server

Dieser Artikel enthält einen Leitfaden zum Verschieben von VMs aus der Automation-Updateverwaltung zu Azure Update Manager.

Azure Update Manager stellt eine SaaS-Lösung zum Verwalten und Steuern von Softwareupdates für Windows- und Linux-Computer in Azure-Umgebungen, lokalen Umgebungen und Umgebungen mit mehreren Clouds bereit. Dabei handelt es sich um eine Weiterentwicklung der Lösung für die Azure Automation-Updateverwaltung mit neuen Features und Funktionen. Diese können zur Bewertung und Bereitstellung von Softwareupdates auf einem einzelnen Computer oder auf mehreren Computern im großen Stil verwendet werden.

Für den Azure Update Manager sind weder AMA noch MMA eine Voraussetzung zum Verwalten von Softwareupdate-Workflows, da für Azure-VMs der Microsoft Azure VM-Agent und für Arc-fähige Server der Azure Connected Machine-Agent genutzt wird. Beim erstmaligen Ausführen eines Updatevorgangs auf einem Computer wird eine Erweiterung auf den Computer übertragen, die mit den Agents interagiert, um fehlende Updates zu prüfen und Updates zu installieren.

Hinweis

Bei der Verwendung der Lösung für die Azure Automation-Updateverwaltung wird empfohlen, MMA-Agents nicht von den Computern zu entfernen, ohne die Migration zu Azure Update Manager für die Anforderungen an die Patchverwaltung des Computers abzuschließen. Ein Entfernen des MMA-Agents vom Computer, ohne zu Azure Update Manager zu migrieren, würde Fehler in den Patchingworkflows für diesen Computer hervorrufen.
Alle Funktionen der Azure Automation-Updateverwaltung sind vor dem Einstellungsdatum in Azure Update Manager verfügbar.

Azure-Portalerfahrung (Vorschau)

In diesem Abschnitt wird erläutert, wie Sie die Portaloberfläche (Vorschau) verwenden, um Zeitpläne und Computer aus der Automation-Updateverwaltung in Azure Update Manager zu verschieben. Mit minimalen Klicks und automatisierter Möglichkeit zum Verschieben Ihrer Ressourcen ist es die einfachste Möglichkeit, zu verschieben, wenn Sie keine Anpassungen haben, die auf Ihrer Lösung für die Automation-Updateverwaltung basieren.

Um auf die Portalmigrationserfahrung zuzugreifen, können Sie mehrere Einstiegspunkte verwenden.

Wählen Sie die Schaltfläche Jetzt migrieren aus, die auf den folgenden Einstiegspunkten vorhanden ist. Nach der Auswahl werden Sie durch den Prozess des Verschiebens Ihrer Zeitpläne und Computer nach Azure Update Manager geführt. Dieser Prozess ist darauf ausgelegt, benutzerfreundliche und unkompliziert zu sein, damit Sie die Migration mit minimalem Aufwand abschließen können.

Sie können von einem der folgenden Einstiegspunkte migrieren:

Wählen Sie die Schaltfläche Jetzt migrieren aus, und ein Migrationsblatt wird geöffnet. Sie enthält eine Zusammenfassung aller Ressourcen einschließlich Computer und Zeitpläne im Automatisierungskonto. Standardmäßig ist das Automatisierungskonto, von dem Sie auf dieses Blatt zugegriffen haben, vorgewählt, wenn Sie über diese Route gehen.

Hier können Sie sehen, wie viele azure-, arcfähige Server, nicht-Azure-nicht arcfähige Server und Zeitpläne in der Automation-Updateverwaltung aktiviert sind und in Azure Update Manager verschoben werden müssen. Sie können auch die Details dieser Ressourcen anzeigen.

Das Migrationsblatt bietet eine Übersicht über die Ressourcen, die verschoben werden, sodass Sie die Migration überprüfen und bestätigen können, bevor Sie fortfahren. Sobald Sie fertig sind, können Sie mit dem Migrationsprozess fortfahren, um Ihre Zeitpläne und Computer in Azure Update Manager zu verschieben.

Nachdem Sie die Ressourcen überprüft haben, die verschoben werden müssen, können Sie mit dem Migrationsprozess fortfahren, bei dem es sich um einen dreistufigen Prozess handelt:

Voraussetzungen

Dazu gehören zwei Schritte:

a. Onboarding nicht von Azure nicht Arc-fähiger Computer in Arc – Dies liegt daran, dass die Arc-Konnektivität eine Voraussetzung für Azure Update Manager ist. Das Onboarding Ihrer Computer in Azure Arc ist kostenlos, und sobald Sie dies tun, können Sie alle Verwaltungsdienste nutzen, wie Sie es für jeden Beliebigen Azure-Computer tun können. Weitere Informationen finden Sie in der Azure Arc-Dokumentation zum Onboarding Ihrer Computer.

b. Laden Sie PowerShell-Skript lokal herunter und führen Sie es aus: Dies ist erforderlich, um eine Benutzeridentität und entsprechende Rollenzuweisungen zu erstellen, damit die Migration stattfinden kann. Dieses Skript gibt der Benutzeridentität RBAC für das Abonnement, zu dem das Automatisierungskonto gehört, den Computern, die in die Automation-Updateverwaltung integriert sind, Bereiche, die Teil dynamischer Abfragen usw. sind, damit die Konfiguration den Computern zugewiesen werden kann, MRP-Konfigurationen können erstellt werden, und die Updatelösung kann entfernt werden. Weitere Informationen finden Sie in der Dokumentation zu Azure Update Manager.
Verschieben von Ressourcen im Automatisierungskonto in Azure Update Manager

Der nächste Schritt im Migrationsprozess besteht darin, Azure Update Manager auf den Computern zu verschieben und entsprechende Wartungskonfigurationen für die zu migrierenden Zeitpläne zu erstellen. Wenn Sie die Schaltfläche Jetzt migrieren auswählen, importiert es das Runbook MigrateToAzureUpdateManager in Ihr Automatisierungskonto und legt die ausführliche Protokollierung auf True fest.

Wählen Sie Runbook starten aus, das die Parameter darstellt, die an das Runbook übergeben werden müssen.

Weitere Informationen zu den zu abrufenden Parametern und zum Speicherort, von dem sie abgerufen werden müssen, finden Sie unter Migration von Computern und Zeitplänen. Nachdem Sie das Runbook gestartet haben, nachdem Sie alle Parameter übergeben haben, beginnt Azure Update Manager mit der Aktivierung auf Computern und der Wartungskonfiguration in Azure Update Manager. Sie können Azure-Runbook-Protokolle für den Status der Ausführung und Migration von Zeitplänen überwachen.
Deboardieren von Ressourcen aus der Automation-Updateverwaltung

Führen Sie das Bereinigungsskript aus der Lösung für die Automation-Updateverwaltung aus, und deaktivieren Sie die Zeitpläne für die Automation-Updateverwaltung.

Nachdem Sie die Schaltfläche Bereinigungsskript ausführen ausgewählt haben, wird das Runbook DeboardFromAutomationUpdateManagement in Ihr Automatisierungskonto importiert, und die ausführliche Protokollierung ist auf True festgelegt.

Wenn Sie das Runbook starten, werden Parameter aufgefordert, an das Runbook zu übergeben. Weitere Informationen finden Sie unter Deboarding von der Lösung Automation-Updateverwaltung, um die Parameter abzurufen, die an das Runbook übergeben werden sollen.

Migrationsskripts (Vorschau)

Mithilfe von Migrationsrunbooks können Sie alle Workloads (Computer und Zeitpläne) automatisch aus der Automation-Updateverwaltung zu Azure Update Manager migrieren. In diesem Abschnitt werden die Ausführung, die Funktionsweise im Back-End, das erwartete Verhalten und gegebenenfalls die Einschränkungen des Skripts erläutert. Das Skript kann alle Computer und Zeitpläne in einem Automation-Konto gleichzeitig migrieren. Wenn Sie über mehrere Automation-Konten verfügen, müssen Sie das Runbook für alle Automation-Konten ausführen.

Im Allgemeinen müssen Sie die folgenden Schritte ausführen, um Ihre Computer und Zeitpläne aus der Automation-Updateverwaltung zu Azure Update Manager zu migrieren.

Zusammenfassung der Voraussetzungen

Führen Sie ein Onboarding für Nicht-Azure-Computer in Azure Arc durch.
Laden Sie das PowerShell-Skript für die lokale Erstellung von Benutzeridentitäts- und Rollenzuweisungen herunter, und führen Sie es lokal auf ihrem System aus. Ausführliche Anweisungen finden Sie im Leitfaden mit Schrittanleitungen, da diese ebenfalls über bestimmte Voraussetzungen verfügen.

Zusammenfassung der Schritte

Führen Sie das Runbook für die Migrationsautomatisierung zum Migrieren von Computern und Zeitplänen aus der Automation-Updateverwaltung zu Azure Update Manager aus. Ausführliche Anweisungen finden Sie im Leitfaden mit Schrittanleitungen.
Führen Sie Bereinigungsskripts aus, um ein Offboarding aus der Automation-Updateverwaltung durchzuführen. Ausführliche Anweisungen finden Sie im Leitfaden mit Schrittanleitungen.

Nicht unterstützte Szenarien

Updatezeitpläne mit Pre- bzw. Post-Vorgängen werden vorerst nicht migriert.
Gespeicherte Abfragen, die nicht aus Azure Cognitive Search stammen, werden nicht migriert. Diese müssen manuell migriert werden.

Die vollständige Liste der Einschränkungen und wichtigen Aspekte finden Sie im letzten Abschnitt dieses Artikels.

Leitfaden mit Schrittanleitungen

Die in den obigen Schritten aufgeführten Informationen werden in den folgenden Abschnitten ausführlich erläutert.

Voraussetzung 1: Onboarding für Nicht-Azure-Computern in Arc

Vorgehensweise

Das Runbook für die Migrationsautomatisierung ignoriert Ressourcen, für die kein Onboarding in Arc durchgeführt wurde. Deshalb besteht eine Voraussetzung darin, vor dem Ausführen des Migrationsrunbooks ein Onboarding für alle Nicht-Azure-Computer in Azure Arc durchzuführen. Führen Sie die Schritte zum Durchführen eines Onboardings von Computern in Azure Arc aus.

Voraussetzung 2: Erstellen von Benutzeridentitäts- und Rollenzuweisungen durch das Ausführen des PowerShell-Skripts

.A Voraussetzungen für die Ausführung des Skripts

Führen Sie den Befehl Install-Module -Name Az -Repository PSGallery -Force in PowerShell aus. Das erforderliche Skript hängt von Az.Modules ab. Dieser Schritt ist erforderlich, wenn Az.Modules nicht vorhanden oder nicht aktualisiert ist.
Um dieses erforderliche Skript auszuführen, müssen Sie über Microsoft.Authorization/roleAssignments/write-Berechtigungen für alle Abonnements verfügen, die Ressource der Automation-Updateverwaltung wie Computer, Zeitpläne, ein Log Analytics-Arbeitsbereich und ein Automation-Konto enthalten. Weitere Informationen finden Sie unter Zuweisen einer Azure-Rolle.
Sie müssen über die Berechtigungen für die Updateverwaltung verfügen.

B. Ausführen des Skripts

Laden Sie das PowerShell-Skript MigrationPrerequisiteScript herunter, und führen Sie es lokal aus. Dieses Skript verwendet den Parameter AutomationAccountResourceId des Automation-Kontos, um als Eingabe migriert zu werden.

Sie können den Parameter AutomationAccountResourceId abrufen, indem Sie zu Automation-Konto>Eigenschaften navigieren.

C. Überprüfen

Überprüfen Sie nach dem Ausführen des Skripts, ob eine benutzerseitig verwaltete Identität im Automation-Konto erstellt wurde. Automation-Konto>Identität>Benutzerseitig zugewiesen.

D: Back-End-Vorgänge durch das Skript

Aktualisierung von Az.Modules für das Automation-Konto, das für die Ausführung der Migrations- und Offboardingskripts erforderlich ist
Erstellen von Benutzeridentitäten im selben Abonnement und in derselben Ressourcengruppe wie das Automation-Konto. Der Name der Benutzeridentität lautet AutomationAccount_aummig_umsi.
Anfügen der Benutzeridentität an das Automation-Konto
Das Skript weist der benutzerseitig verwalteten Identität die folgenden Berechtigungen zu: Erforderliche Berechtigungen für die Updateverwaltung.
1. Dazu ruft das Skript alle Computer ab, für die unter diesem Automation-Konto ein Onboarding in die Automation-Updateverwaltung durchgeführt wurde. Zudem parst es die Abonnement-IDs der Computer, um die erforderliche rollenbasierte Zugriffssteuerung (RBAC) für die Benutzeridentität zu erhalten.
2. Das Skript weist der Benutzeridentität im Abonnement, zu dem das Automation-Konto gehört, die korrekte RBAC zu, damit die MRP-Konfigurationen dort erstellt werden können.
3. Das Skript weist die erforderlichen Rollen für den Log Analytics-Arbeitsbereich und die Log Analytics-Lösung zu.

Schritt 1: Migration von Computern und Zeitplänen

Dieser Schritt umfasst die Verwendung eines Automatisierungsrunbooks zum Migrieren aller Computer und Zeitpläne aus einem Automation-Konto zu Azure Update Manager.

Führen Sie die folgenden Schritte aus:

Importieren Sie das Migrationsrunbook aus dem Runbookkatalog, und veröffentlichen Sie es. Suchen Sie auf der Seite „Katalog durchsuchen“ nach azure automation update, importieren Sie das Migrationsrunbook namens Migrieren von der Azure Automation-Updateverwaltung zu Azure Update Manager, und veröffentlichen Sie das Runbook.

Das Runbook unterstützt PowerShell 5.1.
Legen Sie die ausführliche Protokollierung für das Runbook auf TRUE fest.
Führen Sie das Runbook aus, und übergeben Sie die erforderlichen Parameter wie AutomationAccountResourceId und UserManagedServiceIdentityClientId.
1. Sie können den Parameter AutomationAccountResourceId über Automation-Konto>Eigenschaften abrufen.
2. Sie können den Parameter UserManagedServiceIdentityClientId über Automation-Konto>Identität>Benutzerseitig zugewiesen>Identität>Eigenschaften>Client-ID abrufen.
3. Das Festlegen des Parameters EnablePeriodicAssessmentForMachinesOnboardedToUpdateManagement auf TRUE würde die Eigenschaft der regelmäßigen Bewertung auf allen Computern aktivieren, für die ein Onboarding in die Automation-Updateverwaltung durchgeführt wurde.
4. Das Festlegen des Parameters MigrateUpdateSchedulesAndEnablePeriodicAssessmentonLinkedMachines auf TRUE würde alle Updatezeitpläne in der Automation-Updateverwaltung zu Azure Update Manager migrieren. Außerdem würde dadurch die Eigenschaft der regelmäßigen Bewertung auf allen Computern, die mit diesen Zeitplänen verknüpft sind, auf TRUE festgelegt werden.
5. Sie müssen über den Parameter ResourceGroupForMaintenanceConfigurations angeben, wo alle Wartungskonfigurationen in Azure Update Manager erstellt werden. Wenn Sie einen neuen Namen angeben, wird eine Ressourcengruppe erstellt, in der alle Wartungskonfigurationen erstellt werden. Wenn Sie jedoch einen Namen angeben, für den eine Ressourcengruppe bereits vorhanden ist, werden alle Wartungskonfigurationen in der vorhandenen Ressourcengruppe erstellt.
Überprüfen Sie die Azure-Runbookprotokolle auf den Status der Ausführung und der Migration von SUCs.

Runbookvorgänge im Back-End

Bei der Migration des Runbooks werden die folgenden Aufgaben ausgeführt:

Die regelmäßige Bewertung wird auf allen Computern aktiviert.
Alle Zeitpläne im Automation-Konto werden zu Azure Update Manager migriert, und für jeden Zeitplan wird eine entsprechende Wartungskonfiguration mit denselben Eigenschaften erstellt.

Informationen zum Skript

Das Migrationsskript weist das folgende Verhalten auf:

Es überprüft, ob eine Ressourcengruppe mit dem Namen, der als Eingabe verwendet wurde, bereits im Abonnement des Automation-Kontos vorhanden ist. Sollte keine vorhanden sein, erstellt es eine Ressourcengruppe mit dem durch Cx angegebenen Namen. Diese Ressourcengruppe wird zum Erstellen der MRP-Konfigurationen für Version 2 verwendet.
Das Skript ignoriert die Updatezeitpläne, denen Pre- und Post-Skripts zugeordnet sind. Updatezeitpläne mit Pre- und Post-Skripts werden manuell migriert.
Die RebootOnly-Einstellung ist in Azure Update Manager nicht verfügbar. Zeitpläne mit der RebootOnly-Einstellung werden nicht migriert.
Es filtert SUCs mit dem Status errored/expired/provisioningFailed/disabled heraus und markiert diese als NotMigrated. Anschließend gibt es die entsprechenden Protokolle aus, die angeben, dass solche SUCs nicht migriert werden.
Der Name der Konfigurationszuweisung ist eine Zeichenfolge im Format AUMMig_AAName_SUCName.
Es ermittelt, ob dieser dynamische Bereich bereits der Wartungskonfiguration zugewiesen ist, indem es den Bereich mit Azure Resource Graph abgleicht. Sollte keiner zugewiesen sein, weist es lediglich den Zuordnungsnamen im Format AUMMig_ AAName_SUCName_SomeGUID zu.
Es gibt eine Protokollzusammenfassung im Ausgabestream aus, um den Gesamtstatus von Computern und SUCs anzugeben.
Detaillierte Protokolle werden im ausführlichen Stream ausgegeben.
Nach der Migration kann die Konfiguration des Softwareupdates einen der folgenden vier Migrationsstatus aufweisen:
- MigrationFailed
- PartiallyMigrated
- NotMigrated
- Migrated

In der folgenden Tabelle werden die Szenarios aufgeführt, die den einzelnen Migrationsstatus zugeordnet sind.

MigrationFailed	PartiallyMigrated	NotMigrated	Migrated
Die Erstellung der Wartungskonfiguration für die Konfiguration des Softwareupdates ist fehlgeschlagen.	Die Anwendung der Patcheinstellungen ist auf mindestens einem Computer fehlgeschlagen.	Das Abrufen der Konfiguration des Softwareupdates aus der API ist aufgrund eines Client- bzw. Serverfehlers wie ein interner Dienstfehler fehlgeschlagen.
	Die Konfigurationszuweisung ist auf mindestens einem Computer fehlgeschlagen.	In der Konfiguration des Softwareupdates ist die Einstellung für den Neustart als RebootOnly angegeben. Das wird heutzutage in Azure Update Manager nicht unterstützt.
	Die Auflösung mindestens einer dynamischen Abfrage ist fehlgeschlagen. Dabei konnte die Abfrage für Azure Resource Graph nicht ausführen werden.	Die Konfiguration des Softwareupdates verfügt über Pre- bzw. Post-Aufgaben. Derzeit befinden sich die Pre- bzw. Post-Aufgaben von Azure Update Manager in der Previewphase, und solche Zeitpläne werden nicht migriert.
	Die Konfigurationszuweisung von mindestens einem dynamischen Bereich ist fehlgeschlagen.	Die Konfiguration des Softwareupdates in der Datenbank weist nicht den Bereitstellungsstatus „erfolgreich“ auf.
	Die Konfiguration des Softwareupdates hat gespeicherte Abfragen von Azure Cognitive Search.	Die Konfiguration des Softwareupdates in der Datenbank befindet sich im Fehlerstatus.
		Der mit der Konfiguration des Softwareupdates verknüpfte Zeitplan ist zum Zeitpunkt der Migration bereits abgelaufen.
		Der der Konfiguration des Softwareupdates zugeordnete Zeitplan ist deaktiviert.
		Ausnahmefehler beim Migrieren der Konfiguration des Softwareupdates	Das Anwenden der Patcheinstellung ist bei keinem Computer fehlgeschlagen. And Die Konfigurationszuweisungen sind bei keinem Computer fehlgeschlagen. And Die Auflösung keiner dynamischen Abfragen ist fehlgeschlagen. Dabei konnte die Abfrage für Azure Resource Graph nicht ausführen werden. And Keine Konfigurationszuweisung eines dynamischen Bereichs ist fehlgeschlagen. And Die Konfiguration des Softwareupdates hat keine gespeicherten Abfragen von Azure Cognitive Search.

Um anhand der Tabelle zu ermitteln, aufgrund welcher Szenarios die Konfiguration des Softwareupdates einen bestimmten Status aufweist, überprüfen Sie die ausführlichen Protokolle, die fehlgeschlagenen Protokolle oder die Warnungsprotokolle, um den Fehlercode und die Fehlermeldung zu erhalten.

Sie können ebenfalls mit dem Namen des Updatezeitplans nach spezifischen Protokollen für das Debuggen suchen.

Schritt 2: Lösung zum Offboarding aus der Automation-Updateverwaltung