Verifikasi Azure untuk VM

> Berlaku untuk: Azure Stack HCI, versi 23H2 dan yang lebih baru.

Microsoft Azure menawarkan berbagai beban kerja dan kemampuan berbeda yang dirancang untuk dijalankan di Azure saja. Azure Stack HCI memperbanyak manfaat Azure, sambil berjalan di lingkungan lokal atau edge yang sama dan berkinerja tinggi.

Verifikasi Azure untuk VM memungkinkan beban kerja eksklusif Azure yang didukung untuk bekerja di luar cloud. Fitur ini, yang dimodelkan setelah layanan pengesahan IMDS di Azure, adalah layanan pengesahan platform bawaan yang diaktifkan secara default pada Azure Stack HCI 23H2 atau yang lebih baru. Ini membantu memberikan jaminan bagi VM ini untuk beroperasi di lingkungan Azure lainnya.

Untuk informasi selengkapnya tentang versi sebelumnya dari fitur ini di Azure Stack HCI, versi 22H2 atau yang lebih lama, lihat Manfaat Azure di Azure Stack HCI.

Manfaat yang tersedia di Azure Stack HCI

Verifikasi Azure untuk VM memungkinkan Anda menggunakan manfaat ini hanya tersedia di Azure Stack HCI:

Beban kerja Apa itu Cara mendapatkan manfaat
Penambal Keamanan Diperpanjang (ESU) Dapatkan pembaruan keamanan tanpa biaya tambahan untuk SQL akhir dukungan dan VM Windows Server di Azure Stack HCI.
Untuk informasi selengkapnya, lihat Updates Keamanan Diperpanjang Gratis (ESU) di Azure Stack HCI.
Anda harus mengaktifkan dukungan OS Warisan untuk VM lama yang menjalankan versi Windows Server 2012 atau yang lebih lama dengan Updates Tumpukan Layanan Terbaru.
Azure Virtual Desktop (AVD) Host sesi AVD hanya dapat berjalan pada infrastruktur Azure. Aktifkan VM multi-sesi Windows Anda di Azure Stack HCI menggunakan verifikasi Azure VM.
Persyaratan lisensi untuk AVD masih berlaku. Lihat Harga Azure Virtual Desktop.
Diaktifkan secara otomatis untuk VM yang menjalankan versi Windows 11 multi-sesi dengan pembaruan 4B yang dirilis pada 9 April 2024 (22H2: KB5036893, 21H2: KB5036894) atau yang lebih baru. Anda harus mengaktifkan dukungan OS warisan untuk VM yang menjalankan versi Windows 10 multi-sesi dengan pembaruan 4B yang dirilis pada 9 April 2024 KB5036892 atau yang lebih baru.
Pusat Data Windows Server: Azure Edition Azure Edition VM hanya dapat berjalan pada infrastruktur Azure. Aktifkan VM Windows Server Azure Edition Anda dan gunakan inovasi Windows Server terbaru dan fitur eksklusif lainnya.
Persyaratan lisensi masih berlaku. Lihat cara untuk melisensikan VM Windows Server di Azure Stack HCI.
Diaktifkan secara otomatis untuk VM yang menjalankan Windows Server Azure Edition 2022 dengan pembaruan 4B dirilis pada 9 April 2024 (KB5036909) atau yang lebih baru.
Konfigurasi tamu Kebijakan Azure Dapatkan konfigurasi tamu Azure Policy tanpa biaya. Ekstensi Arc ini memungkinkan audit dan konfigurasi pengaturan OS sebagai kode untuk server dan VM. Agen Arc versi 1.39 atau yang lebih baru. Lihat Rilis agen Arc terbaru.

Catatan

Untuk memastikan fungsionalitas berkelanjutan, perbarui VM Anda di Azure Stack HCI ke pembaruan kumulatif terbaru pada 17 Juni 2024. Pembaruan ini sangat penting bagi VM untuk terus menggunakan manfaat Azure. Lihat posting blog Azure Stack HCI untuk informasi selengkapnya.

Arsitektur

Bagian ini adalah pembacaan opsional, dan menjelaskan selengkapnya tentang cara kerja verifikasi Azure VM di Azure Stack HCI "di bawah tenda."

Verifikasi Azure VM bergantung pada layanan pengesahan platform bawaan di Azure Stack HCI. Layanan ini dimodelkan setelah layanan Pengesahan IMDS yang sama yang berjalan di Azure, dan mengembalikan payload yang hampir identik. Perbedaan utamanya adalah bahwa payload dijalankan secara lokal, dan karenanya menjamin bahwa VM berada di Azure Stack HCI dan bukan Azure.

Diagram memperlihatkan arsitektur verifikasi Azure.

  1. Verifikasi Azure VM diaktifkan secara default dengan Azure Stack HCI yang menjalankan versi 23H2 atau yang lebih baru. Selama startup server, HciSvc menghasilkan Layanan Integrasi melalui soket Hyper-V yaitu, (VMBus) untuk memfasilitasi komunikasi yang aman antara VM dan server.

    Dukungan OS warisan: Beban kerja yang tidak dapat melakukan panggilan API Win32 atau langsung mengkueri layanan integrasi harus mengaktifkan dukungan OS Warisan. Pengaturan ini menyediakan titik akhir REST privat dan tidak dapat dialihkan ke VM di server yang sama.

    Untuk mengaktifkan titik akhir ini, vSwitch internal dikonfigurasi di server Azure Stack HCI (bernama AZSHCI_HOST-IMDS_DO_NOT_MODIFY). Setelah itu, VM harus memiliki NIC yang dikonfigurasi (AZSHCI_GUEST-IMDS_DO_NOT_MODIFY) dan dilampirkan ke vSwitch yang sama.

    Catatan

    Memodifikasi atau menghapus sakelar ini dan NIC mencegah verifikasi Azure VM berfungsi dengan baik. Jika Anda mengalami kesalahan, coba nonaktifkan lalu aktifkan kembali dukungan OS warisan.

  2. Setiap kali Azure Stack HCI disinkronkan dengan Azure, HciSvc mendapatkan sertifikat dari Azure, dan menyimpannya dengan aman dalam enklave di setiap server.

    Catatan

    Sertifikat diperbarui setiap kali kluster Azure Stack HCI disinkronkan dengan Azure, dan setiap pembaruan berlaku selama 30 hari. Selama Anda mempertahankan persyaratan konektivitas 30 hari yang biasa untuk Azure Stack HCI, tidak ada tindakan pengguna yang diperlukan untuk memperbarui sertifikat.

  3. Untuk mengaktifkan manfaat, beban kerja konsumen meminta pengesahan dari server. Mereka mencoba mengirim permintaan melalui VM Bus, atau mereka juga dapat meminta titik akhir REST menggunakan komponen jaringan yang dikonfigurasi dalam dukungan OS warisan. Kedua pendekatan untuk komunikasi VM-server didukung dan dapat hidup berdampingan pada kluster yang sama.

    Catatan

    Saat menggunakan dukungan OS warisan, Anda harus mengaktifkan akses secara manual untuk VM yang memerlukan aktivasi manfaat.

    HciSvc kemudian mengembalikan respons yang ditandatangani menggunakan sertifikat Azure yang disimpannya. Konsumen memverifikasi respons dan mengaktifkan manfaat terkait.

Mengelola verifikasi Azure VM

Verifikasi Azure VM diaktifkan secara otomatis secara default di Azure Stack HCI 23H2 atau yang lebih baru. Instruksi berikut menguraikan prasyarat untuk menggunakan fitur ini dan langkah-langkah untuk mengelola manfaat (opsional).

Catatan

Untuk mengaktifkan Updates Keamanan Diperpanjang (ESU), Anda harus melakukan penyiapan tambahan dan mengaktifkan dukungan OS warisan.

Prasyarat host

Prasyarat komputer virtual

Anda dapat mengelola verifikasi Azure VM menggunakan Windows Admin Center atau PowerShell, atau menampilkan statusnya menggunakan Azure CLI atau portal Azure. Bagian berikut mendeskripsikan setiap opsi secara lebih detail.

Memeriksa status server verifikasi Azure VM

  1. Di Windows Admin Center, pilih Manajer Kluster dari menu drop-down atas, navigasikan ke kluster yang ingin Anda aktifkan, lalu di bawah Pengaturan, pilih Verifikasi Azure untuk VM.

  2. Untuk memeriksa status server verifikasi Azure VM:

    • Status tingkat kluster: Status host muncul sebagai Aktif.

    • Status tingkat server: Di bawah tab Server di dasbor, periksa apakah status untuk setiap server ditampilkan sebagai Aktif dalam tabel.

      Cuplikan layar memperlihatkan status server.

Memecahkan masalah server

  • Di bawah tab Server , jika satu atau beberapa server muncul sebagai Kedaluwarsa:
    • Jika server belum disinkronkan dengan Azure selama lebih dari 30 hari, statusnya muncul sebagai Kedaluwarsa atau Tidak Aktif. Pilih Sinkronkan dengan Azure untuk menjadwalkan sinkronisasi manual.

Mengelola manfaat yang diaktifkan pada VM

  1. Untuk memeriksa manfaat apa yang diaktifkan pada VM, navigasikan ke tab VM .

  2. Dasbor menunjukkan jumlah VM dengan:

    • Manfaat aktif: VM ini memiliki fitur eksklusif Azure yang diaktifkan melalui verifikasi Azure VM.
    • Manfaat tidak aktif: VM ini memiliki fitur eksklusif Azure yang memerlukan tindakan lebih lanjut sebelum aktivasi.
    • Tidak diketahui: Kami tidak dapat menentukan manfaat yang memenuhi syarat untuk VM ini karena pertukaran data Hyper-V dinonaktifkan. Lihat bagian pemecahan masalah berikut.
    • Tidak ada manfaat yang berlaku: VM ini tidak memiliki fitur eksklusif Azure dan karenanya tidak memerlukan verifikasi Azure VM.
  3. Tabel menampilkan manfaat yang Memenuhi Syarat yang berlaku untuk setiap VM. Lihat daftar lengkap manfaat yang tersedia di Azure Stack HCI.

    Cuplikan layar memperlihatkan dasbor dan status komputer virtual.

Memecahkan masalah VM

  • Di bawah tab VM , jika satu atau beberapa VM muncul sebagai Manfaat tidak aktif:

    • Jika tindakan yang disarankan adalah Menginstal pembaruan, Anda mungkin tidak memiliki versi OS minimum yang diperlukan untuk manfaatnya. Perbarui VM untuk memenuhi persyaratan versi untuk beban kerja.
    • Jika tindakan yang disarankan adalah Mengaktifkan Antarmuka Layanan Tamu, pilih dan buka panel konteks untuk mengaktifkan Antarmuka Layanan Tamu Hyper-V. Fitur ini diperlukan bagi VM untuk berkomunikasi dengan host melalui VMbus.
    • Jika tindakan yang disarankan adalah mengenai dukungan OS warisan, lihat pemecahan masalah untuk dukungan OS warisan.
  • Di bawah tab VM , jika satu atau beberapa VM muncul sebagai Tidak Diketahui:

Dukungan OS warisan

Untuk VM lama yang tidak memiliki fungsionalitas Hyper-V yang diperlukan (Antarmuka Layanan Tamu) untuk berkomunikasi langsung dengan host, Anda harus mengonfigurasi komponen jaringan tradisional untuk verifikasi Azure VM. Jika Anda memiliki beban kerja ini, seperti Extended Security Updates (ESU), ikuti instruksi di bagian ini untuk menyiapkan dukungan OS warisan.

1. Aktifkan dukungan OS warisan pada host

  1. Di Windows Admin Center, pilih Manajer Kluster dari menu drop-down atas, navigasikan ke kluster yang ingin Anda aktifkan, lalu di bawah Pengaturan, pilih Verifikasi Azure untuk VM.

  2. Di bagian untuk dukungan OS Warisan, pilih Ubah status. Pilih Aktif di panel konteks. Pengaturan ini juga memungkinkan akses jaringan untuk semua VM yang ada. Anda harus mengaktifkan dukungan OS warisan secara manual untuk VM baru yang Anda buat nanti.

  3. Pilih Ubah status untuk mengonfirmasi. Mungkin perlu waktu beberapa menit bagi server untuk mencerminkan perubahan.

  4. Ketika dukungan OS warisan berhasil diaktifkan:

    • Periksa apakah dukungan OS Warisan muncul sebagai Aktif.

    • Di bawah tab Server di dasbor, periksa apakah dukungan OS warisan untuk setiap server ditampilkan sebagai Aktif dalam tabel.

      Cuplikan layar memperlihatkan dasbor dengan informasi dukungan OS warisan.

2. Aktifkan akses untuk VM baru

Anda harus mengaktifkan jaringan OS warisan untuk VM baru yang Anda buat setelah penyiapan pertama. Untuk mengelola akses untuk VM, navigasikan ke tab VM . VM apa pun yang memerlukan akses dukungan OS warisan muncul sebagai Tidak Aktif. Pilih tindakan untuk Menyiapkan jaringan OS warisan untuk VM yang dipilih, atau untuk semua VM yang ada pada kluster.

Cuplikan layar memperlihatkan dasbor VM warisan.

Catatan

Agar berhasil mengaktifkan dukungan OS warisan pada VM Generasi 1, VM harus terlebih dahulu dimatikan untuk memungkinkan NIC ditambahkan.

FAQ

Bagian ini menyediakan jawaban atas beberapa pertanyaan yang sering diajukan tentang menggunakan Manfaat Azure.

Beban kerja eksklusif Azure apa yang dapat saya aktifkan dengan verifikasi Azure VM?

Lihat daftar lengkapnya di sini.

Apakah ada biaya untuk mengaktifkan verifikasi Azure VM?

Nomor. Mengaktifkan verifikasi Azure VM tidak dikenakan biaya tambahan.

Bisakah saya menggunakan verifikasi Azure VM pada lingkungan selain Azure Stack HCI?

Nomor. Verifikasi Azure VM adalah fitur yang disertakan dalam OS Azure Stack HCI, dan hanya dapat digunakan pada Azure Stack HCI.

Jika saya baru saja meningkatkan ke 23H2 dari 22H2, dan sebelumnya saya mengaktifkan fitur Manfaat Azure, apakah saya perlu melakukan sesuatu yang baru?

Jika Anda meningkatkan kluster yang sebelumnya memiliki Manfaat Azure di Azure Stack HCI yang disiapkan untuk beban kerja, Anda tidak perlu melakukan apa pun saat meningkatkan ke 23H2. Saat Anda meningkatkan, fitur tetap diaktifkan, dan dukungan OS warisan juga diaktifkan. Namun, jika Anda ingin menggunakan cara yang ditingkatkan untuk melakukan komunikasi VM-to-host melalui VM Bus di 23H2, pastikan Anda memiliki prasyarat host dan prasyarat VM yang diperlukan.

Saya baru saja menyiapkan verifikasi Azure VM di kluster saya. Bagaimana cara memastikan bahwa verifikasi Azure VM tetap aktif?

  • Dalam kebanyakan kasus, tidak ada tindakan pengguna yang diperlukan. Azure Stack HCI secara otomatis memperbarui verifikasi Azure VM saat disinkronkan dengan Azure.
  • Namun, jika kluster terputus selama lebih dari 30 hari dan verifikasi Azure VM ditampilkan sebagai Kedaluwarsa, Anda dapat menyinkronkan secara manual menggunakan PowerShell dan Windows Admin Center. Untuk informasi selengkapnya, lihat menyinkronkan Azure Stack HCI.

Apa yang terjadi ketika saya menyebarkan VM baru, atau menghapus VM?

  • Saat Anda menyebarkan VM baru yang memerlukan verifikasi Azure VM, VM tersebut diaktifkan secara otomatis jika memiliki prasyarat VM yang benar.

  • Namun, untuk VM warisan yang menggunakan dukungan OS warisan, Anda dapat menambahkan VM baru secara manual untuk mengakses verifikasi Azure VM menggunakan Windows Admin Center atau PowerShell, menggunakan instruksi sebelumnya.

  • Anda masih dapat menghapus dan memigrasikan VM seperti biasa. NIC AZSHCI_GUEST-IMDS_DO_NOT_MODIFY masih ada di VM setelah migrasi. Untuk membersihkan NIC sebelum migrasi, Anda dapat menghapus VM dari verifikasi Azure VM menggunakan Windows Admin Center atau PowerShell menggunakan instruksi sebelumnya untuk dukungan OS warisan, atau Anda dapat melakukan migrasi terlebih dahulu dan menghapus NIC secara manual setelahnya.

Apa yang terjadi ketika saya menambahkan atau menghapus server?

  • Saat Anda menambahkan server, server akan diaktifkan secara otomatis jika memiliki prasyarat Host yang benar.
  • Jika Anda menggunakan dukungan OS warisan, Anda mungkin perlu mengaktifkan server ini secara manual. Jalankan Enable-AzStackHCIAttestation [[-ComputerName] <String>] di PowerShell. Anda masih dapat menghapus server atau menghapusnya dari kluster seperti biasa. vSwitch AZSHCI_HOST-IMDS_DO_NOT_MODIFY masih ada di server setelah penghapusan dari kluster. Anda dapat membiarkannya jika Anda berencana untuk menambahkan server kembali ke kluster nanti, atau Anda dapat menghapusnya secara manual.

Langkah berikutnya