Essential Machine Management を有効にする (プレビュー)

Essential Machine Management (EMM) を使用すると、Azure仮想マシン (VM) とAzure Arc対応サーバーの管理のオンボードと構成が簡素化されます。 Essential Machine Management のサブスクリプションを有効にすると、そのサブスクリプション内のすべての VM とAzure Arc対応サーバーが自動的に登録され、キュレーションされた管理機能のセットで構成されます。 この構成により、監視、セキュリティ、および管理のためにマシンが一貫して設定されます。

前提条件

必要なアクセス許可

User

登録を実行するユーザーは、サブスクリプションで有効になっている次のロールを持っている必要があります。

  • 必須の機械管理管理者
  • マネージド ID オペレーターロール
  • リソース ポリシー共同作成者

Essential Machine Management が有効になっているサブスクリプションとは異なるサブスクリプションで、Log Analytics ワークスペースまたは Azure Monitor ワークスペースを使用している場合:

  • また、ユーザー アカウントには、Log Analytics ワークスペースまたは Azure Monitor ワークスペースのリソース グループに、Essential Machine Management Administrator ロールが必要です。
  • Microsoft.ManagedOps リソース プロバイダーは、Log Analytics ワークスペースまたは Azure Monitor ワークスペースのサブスクリプションに登録する必要があります。 Azure PowerShell コマンド Register-AzResourceProvider -ProviderNamespace "Microsoft.ManagedOps" を使用します。

マネージド ID

登録には、サブスクリプションに対するユーザー割り当てマネージド IDと、共同作成者アクセス許可が必要です。

また、ユーザー割り当てマネージド ID には、 Microsoft.Insights と Microsoft.Authorizationのリソース プロバイダーに対して動作するアクセス許可も必要です。 詳細については、「 ユーザー割り当てマネージド ID の割り当て制限を構成する」を参照してください。

Essential Machine Management で有効になっているサブスクリプションとは異なるサブスクリプションでLog Analytics ワークスペースまたはAzure Monitor ワークスペースを使用している場合、マネージド ID には、Log Analytics ワークスペースまたはAzure Monitor ワークスペースのリソース グループの共同作成者アクセス許可も必要です。

有効な機能

基本的なマシン管理により、標準の機能セットが可能になり、必要に応じて追加のセキュリティ機能を有効にすることができます。

Essentials レベル

次の機能は、essentials レベルの一部です。

特徴 Description
Azure Monitor VM のパフォーマンスと正常性を監視し、分析情報を提供します。 メトリックベースの推奨アラートを構成します。
Azure Update Manager VM へのオペレーティング システム更新プログラムのデプロイを自動化します。
Azure マシンの構成 Azureセキュリティ ベースライン ポリシーを監査します。
Azure 変更履歴とインベントリy VM 構成の変更を追跡し、リソースのインベントリを保持します。

Essentials レベルの価格

  • Azure 仮想マシンの場合のみ、Essential Machine Management で有効になっている機能は追加料金なしで提供されます。

  • Windows Server ソフトウェア アシュアランス、Windows Server PayGo、および拡張セキュリティ更新プログラムを使用する Windows Server Azure Arc対応サーバーの場合、Essential Machine Management で機能を追加料金なしで有効にできます。

  • Microsoft Defender for Server Plan 2 に登録されているAzure Arc対応サーバーの場合、Essential Machine Management で機能を追加料金なしで有効にできます。

  • その他のすべてのAzure Arc対応サーバーの場合、Essential Machine Management のコストは 1 サーバーあたり 1 か月あたり 9.01 ドルです。 価格情報を表示するには、Azure Arcの価格に関するページを参照してください。

Note

ログ インジェスト率は個別に課金されます。 価格情報を表示するには、Azure Monitorの価格に関するページを参照してください。

セキュリティ層

Essential Machine Management サービスには、次のセキュリティ機能が用意されています。 登録された VM に対して、これらの機能の任意の組み合わせを有効にすることができます。 このセクションの機能では、追加料金が発生する可能性があります。

特徴 Description Cost
基本的な CSPM クラウド リソースのセキュリティを評価および改善するための基本的なクラウド セキュリティ体制管理 (CSPM) 機能を提供します。 いいえ
ディフェンダー CSPM クラウド リソースのセキュリティを強化するための高度なクラウド セキュリティ体制管理 (CSPM) 機能。 はい
クラウド用 Defender VM の高度な脅威保護とセキュリティ管理。 はい

サブスクリプションを有効にする

サブスクリプションのマシン管理を有効にするには、[構成] メニューから [基本的なマシン管理] を選択し、[有効にする] を選択します。

Note

パブリック プレビュー期間中は、マシン管理を有効にするための唯一の方法として Azure portal がサポートされています。

サブスクリプションが有効になっていない [Essential Machine Management] 画面のスクリーンショット。

[スコープ] タブ

[ スコープ ] タブには、有効にするサブスクリプションとマネージド ID が含まれます。

設定 説明
サブスクリプションを選択する 有効にするサブスクリプションを選択します。 アクセス権を持つすべてのサブスクリプションと、各サブスクリプション内の Azure VM と Arc 対応 VM の数が一覧表示されます。
必要なユーザー ロールの割り当て ユーザー アカウントに割り当てられる必要があるロールを一覧表示します。
現在のユーザー ロールの割り当て ユーザー アカウントに現在割り当てられているロールを一覧表示します。
ユーザーが割り当てたマネージドID サブスクリプション内の VM のオンボードに使用するマネージド ID を選択します。
必要な ID ロールの割り当て マネージド ID を割り当てる必要がある必要なロールを一覧表示します。
現在の ID ロールの割り当て マネージド ID に現在割り当てられているロールを一覧表示します。
構成タブ

[構成] タブには、マネージド VM からデータを収集する Log Analytics ワークスペースと Azure Monitor ワークスペースが含まれます。

設定 説明
Log Analytics ワークスペース VM からログ データを収集するために使用する Log Analytics ワークスペースを選択します。
Azure Monitor ワークスペース VM からメトリック データを収集するために使用する Azure Monitor ワークスペースを選択します。
[セキュリティ] タブ

[ セキュリティ ] タブでは、マネージド VM の追加のセキュリティ サービスを選択できます。

設定 説明
基本的な CSPM エージェントレスでリスク優先の分析情報を使用して、クラウド環境を継続的に評価します。 すべてのワークロードに推奨されます。

このアドオンでは、追加料金は発生しません。
Defender CSPM エージェントレスでリスク優先の分析情報を使用して、クラウド環境を継続的に評価します。 すべてのワークロードに推奨されます。

このアドオンには追加料金が発生します。
Defender for cloud（クラウド用ディフェンダー） 統合エンドポイントの検出と対応 (EDR)、脆弱性管理、ファイルの整合性の監視、高度な脅威検出を使用した包括的なサーバー保護。 ビジネス クリティカルなワークロードに推奨されます。

このアドオンには追加料金が発生します。

既存の VM

各サブスクリプションで Essential Machine Management を有効にすると、そのサブスクリプション内のすべてのAzure VM とAzure Arc対応サーバーが自動的にオンボードされます。 有効にすると、サブスクリプションに追加するすべての VM が登録され、選択した機能で構成されます。 Essential Machine Management を有効にすると、サブスクリプション内の既存の VM に次の動作が適用されます。

  • 既存のサービスは、その構成を保持します。 たとえば、VM がメンテナンス スケジュールで Update Management を既に使用している場合でも、そのメンテナンス スケジュールに従います。
  • サブスクリプションを有効にすると、 修復タスク が作成され、サブスクリプション内のすべての既存の VM に対して選択したサービスが有効になります。

Warning

変更追跡が有効になっている既存の VM がある場合は、パブリック プレビューには注意してください。 この場合、追加の変更追跡 DCR が作成され、VM に関連付けられます。 ただし、Change Tracking では 1 つの DCR のみがサポートされるため、どちらの DCR も割り当てることができます。 ManagedOps DCR を使用する場合は、既存の DCR を削除します。

VM の除外

現在、有効なサブスクリプション内の VM を除外する機能はありません。 サブスクリプション内のすべての VM がオンボードされ、選択した機能で構成されます。

サブスクリプションを無効にする

サブスクリプションを選択して無効にし、[ オフボード] を選択します。 サブスクリプションを無効にすると、そのサブスクリプションに追加された VM は、選択した管理機能で構成されなくなります。 ただし、既存の VM の構成は変更されません。 これらは、手動で削除するまで、既存の機能で引き続き管理されます。

Warning

サブスクリプションを無効にすると、そのサブスクリプション内のマシンでは統合価格が使用されなくなります。 これらのマシンの価格は、個々のサービスの標準価格に戻ります。これにより、コストが増加する可能性が最も高くなります。 追加料金が発生しないように、既存の VM で不要なサービスを無効にしてください。

Troubleshooting

Essential Machine Management に関する一般的な問題の解決については、「 Essential Machine Management (プレビュー)のトラブルシューティング」を参照してください。 この記事では、登録時に作成されたオブジェクトと、その作成を確認する方法についても説明します。

詳細な構成

次の表では、Essential Machine Management を有効にしたときに各 VM に適用される特定の構成について説明します。

特徴 構成の詳細
Azure Monitor - Azure Monitor エージェントをインストールします
- パフォーマンス カウンターの標準セットを収集します。
- メトリックベースの推奨アラートを構成します
Azure Update Manager - 拡張機能をインストールします (Microsoft.CPlat.Core.LinuxPatchExtension または Microsoft.CPlat.Core.WindowsPatchExtension)
- 定期的な評価 が有効になっています。
Azure マシンの構成 - 拡張機能をインストールします (Microsoft.GuestConfiguration.ConfigurationforLinux または Microsoft.GuestConfiguration.ConfigurationforWindows)
- 監査専用モードで Linux セキュリティ ベースラインと Windows セキュリティ ベースラインを適用します。
Azure 変更追跡およびインベントリ - 拡張機能をインストールします (Microsoft.Azure.ChangeTrackingAndInventory.<br>ChangeTracking-Windows または Microsoft.Azure.ChangeTrackingAndInventory.ChangeTracking-Linux)
- オンボーディングで指定された Log Analytics ワークスペースを使用します。
- 基本的なファイルとレジストリ キーを収集します。
Defender CSPM - 既定では、すべての設定がオンになっています。

次のステップ

  • 最終更新: