Dati e privacy per i server abilitati per Arc

Questo articolo descrive il processo di raccolta dati da parte dell'agente di Azure Connected Machine per i server abilitati per Azure Arc, spiegando in dettaglio come i metadati di sistema vengono raccolti e inviati ad Azure. Questo articolo descrive anche i meccanismi di registrazione disponibili per i server abilitati per Azure Arc, incluso il log attività di Azure per tenere traccia delle azioni del server.

Informazioni raccolte da Azure Arc

Come parte del normale funzionamento, l'agente di Azure Connected Machine raccoglie i metadati di sistema e li invia ad Azure come parte del regolare processo operativo. Questi metadati vengono popolati nella risorsa server abilitata per Azure Arc, in modo da poter identificare ed eseguire query sui server come parte dell'inventario di Azure. Azure Arc raccoglie dati non identificabili dall'utente finale.

Vedere metadati dell'istanza per un elenco completo dei metadati raccolti da Azure Arc. Questo elenco viene aggiornato regolarmente per riflettere i dati raccolti dalla versione più recente dell'agente di Azure Connected Machine. Non è possibile rifiutare esplicitamente questa raccolta dati perché viene usata nelle esperienze di Azure per filtrare e identificare i server.

Per raccogliere metadati cloud, l'agente di Azure Connected Machine esegue una query sugli endpoint del servizio metadati dell'istanza (IMDS) per AWS, GCP, Oracle Cloud, Azure Local e Azure. Quando il servizio di metadati dell'istanza ibrida (HIMDS), il gestore dei metadati locali dell'agente viene avviato, esegue un controllo una tantum per determinare se il server è in esecuzione in un ambiente cloud. Come parte di questo controllo, il software di sicurezza potrebbe notare che l'agente raggiunge gli endpoint descritti nella tabella seguente.

Punto finale	Provider di servizi cloud
169.254.169.254	Azure, AWS, Oracle Cloud, Google Cloud
169.254.169.253	AWS
metadata.google.internal	Google Cloud

Tutti i dati vengono gestiti in base agli Standard per la privacy di Microsoft.

Replica dei dati e ripristino di emergenza

I server abilitati per Azure Arc sono un'offerta software-as-a-service e gestisce la replica dei dati e la preparazione del ripristino di emergenza per conto dell'utente. Quando si seleziona l'area in cui archiviare i dati, i dati vengono replicati automaticamente in un'altra area con gli stessi dati geografici per proteggersi da un'interruzione a livello regionale. Nel caso in cui un'area non sia più disponibile, i record DNS vengono modificati automaticamente in modo che puntino all'area di failover. Non è necessaria alcuna azione da parte dell'utente e gli agenti si riconnettono automaticamente al termine del failover.

In alcune aree geografiche, solo un'area supporta i server abilitati per Azure Arc. In queste situazioni i dati vengono comunque replicati per scopi di backup in un'altra area geografica, tuttavia non si potrà eseguire il failover in un'altra area durante un'interruzione. Si continuano a visualizzare i metadati in Azure dall'ultima volta in cui i server hanno emesso un segnale di vita; i server, tuttavia, non possono apportare modifiche o connettere nuovi server fino a quando non viene ripristinata la funzionalità dell'area. Il team di Azure Arc considera regolarmente le opportunità di espansione dell'area per ridurre al minimo il numero di aree geografiche in questa configurazione.

Conformità agli standard per le normative

Azure Arc viene regolarmente controllato per la conformità a molti standard normativi globali, regionali e specifici del settore. Una tabella di riepilogo delle offerte di conformità è disponibile all'indirizzo https://aka.ms/AzureCompliance.

Per altre informazioni su uno standard specifico e per scaricare i documenti di controllo vedere Azure e altre offerte di conformità dei servizi cloud Microsoft.

Log attività di Azure

È possibile usare il log attività di Azure per tenere traccia delle azioni eseguite in un server abilitato per Azure Arc. Le azioni come l'installazione di estensioni in un server Arc hanno identificatori di operazione univoci (iniziano tutti con "Microsoft.HybridCompute") che è possibile usare per filtrare il log. Altre informazioni sul log attività di Azure e su come conservare i log attività per più di 30 giorni inviando i dati del log attività a Log Analytics.

Log locali

L'agente di Azure Connected Machine mantiene un set di log locali in ogni server, utile per la risoluzione dei problemi o il controllo quando l'agente Arc apporta una modifica al sistema. Il modo più rapido per ottenere una copia di tutti i log da un server consiste nell'eseguire azcmagent logs, che genera una cartella compressa di tutti i log più recenti.

Le sezioni seguenti descrivono i log locali che l'agente di Azure Connected Machine gestisce.

Log HIMDS

Il file di log HIMDS contiene tutti i dati di log del servizio HIMDS. Questi dati includono informazioni vitali, tentativi di connessione e disconnessione e una cronologia delle richieste api REST per i metadati di IMDS e i token di identità gestiti da altre app nel sistema.

Sistema operativo	Percorso dei log
Windows	%PROGRAMDATA%\AzureConnectedMachineAgent\Log\himds.log
Linux	/var/opt/azcmagent/log/himds.log

azcmagent CLI

Il file di log azcmagent contiene una cronologia dei comandi eseguiti usando l'interfaccia della riga di comando azcmagent locale. Questo log fornisce i parametri usati per la connessione, la disconnessione o la modifica della configurazione dell'agente di Azure Connected Machine.

Sistema operativo	Percorso dei log
Windows	%PROGRAMDATA%\AzureConnectedMachineAgent\Log\azcmagent.log
Linux	/var/opt/azcmagent/log/azcmagent.log

Log di Gestione delle Estensioni

Il log di Gestione estensioni contiene informazioni sui tentativi di installazione, aggiornamento, riconfigurazione e disinstallazione delle estensioni nel computer.

Sistema operativo	Percorso dei log
Windows	%PROGRAMDATA%\GuestConfig\ext_mgr_logs\gc_ext.log
Linux	/var/lib/GuestConfig/ext_mgr_logs/gc_ext.log

Altri log possono essere generati da singole estensioni. Non è garantito che i log per le singole estensioni seguano un formato di log standard.

Sistema operativo	Percorso dei log
Windows	%PROGRAMDATA%\GuestConfig\extension_logs*
Linux	/var/lib/GuestConfig/extension_logs/*

Log di Configurazione della Macchina

Il motore dei criteri di configurazione macchina genera i log per il controllo e l'applicazione delle impostazioni nel sistema.

Sistema operativo	Percorso dei log
Windows	%PROGRAMDATA%\GuestConfig\arc_policy_logs\gc_agent.log
Linux	/var/lib/GuestConfig/arc_policy_logs/gc_agent.log