ハイブリッドマシンを大規模に Azure に接続する

[アーティクル]
04/19/2024

要件に応じていくつかの柔軟なオプションを使用して、環境内の複数の Windows または Linux マシンに対して Azure Arc 対応サーバーを有効にすることができます。 Microsoft が提供するテンプレートスクリプトを使用すると、Azure Arc への接続の確立を含め、インストールのすべての手順を自動化できます。ただし、ターゲットマシンおよび Azure で管理者特権でのアクセス許可を持つアカウントを使用して、このスクリプトを手動で実行する必要があります。

Azure Arc 対応サーバーにマシンを接続する方法の 1 つは、Microsoft Entra のサービスプリンシパルを使用することです。対話形式でマシンを接続するための特権 ID の代わりに、このサービスプリンシパル方式を使用できます。このサービスプリンシパルは、azcmagent コマンドを使用してマシンを Azure に接続するために必要な最小限のアクセス許可のみが付与される、特殊な制限付きの管理用 ID です。この方法は、テナント管理者のような、より高い特権を持つアカウントを使用するよりも安全で、アクセス制御セキュリティのベストプラクティスに従っています。 サービスプリンシパルは、オンボード中にのみ使用され、その他の目的には使用されません。

マシンの接続を開始する前に、次の要件を確認してください。

オンボードの対象となるマシンの管理者アクセス許可があることを確認します。

Connected Machine エージェントをマシンにインストールするためには管理者アクセス許可が必要です。Linux ではルートアカウントを使用し、Windows では Local Administrators グループのメンバーとして作業することになります。
前提条件を確認し、ご利用のサブスクリプションおよびリソースが要件を満たしていることを確認してください。マシンのリソースグループには、Azure Connected Machine オンボーディング ロールまたは 共同作成者ロールが必要です。事前に以下の Azure リソースプロバイダーをターゲットサブスクリプションに登録しておきます。
- Microsoft.HybridCompute
- Microsoft.GuestConfiguration
- Microsoft.HybridConnectivity
- Microsoft.AzureArcData (Arc 対応 SQL Server インスタンスを計画している場合)
方法の詳細については、Azure リソースプロバイダーの前提に関するセクションを参照してください

サポートされているリージョン、および関連するその他の考慮事項については、サポート対象の Azure リージョンに関する記事を参照してください。また、設計と展開の条件、および管理と監視に関する推奨事項については、規模拡大に関する計画ガイドを参照してください。

Azure サブスクリプションをお持ちでない場合は、始める前に無料アカウントを作成してください。

SQL Server の自動接続

Microsoft SQL Server もインストールされている Azure Arc に Windows または Linux サーバーを接続すると、SQL Server インスタンスも Azure Arc に自動的に接続されます。 Azure Arc によって有効化された SQL Server には、SQL Server インスタンスとデータベース用の詳細インベントリと追加の管理機能が備わっています。接続プロセスの一環として、拡張機能が Azure Arc 対応サーバーにデプロイされ、新しいロールが SQL Server とデータベースに適用されます。 SQL Server を Azure Arc に自動的に接続しないように設定する場合は、Windows または Linux サーバーが Azure Arc に接続されたときに、名前が ArcSQLServerExtensionDeployment、値が Disabled のタグを追加することで、オプトアウトできます。

詳細については、「Azure Arc によって有効化された SQL Server の自動接続を管理する」を参照してください。

大規模なオンボーディング用のサービスプリンシパルを作成する

サービスプリンシパルは、Azure portal で、または、Azure PowerShell を使用して作成できます。

Note

サービスプリンシパルを作成するには、Microsoft Entra テナントでユーザーがアプリケーションを登録できる必要があります。そうでない場合は、アカウントがアプリケーション管理者またはクラウドアプリケーション管理者管理者ロールのメンバーである必要があります。テナントレベルの要件の詳細については、「Microsoft Entra ID でアプリ登録のアクセス許可を委任する」を参照してください。 Arc 対応のサーバーロールを割り当てるには、アカウントを、オンボーディングに使用するサブスクリプションの所有者またはユーザーアクセス管理者ロールのメンバーにする必要があります。

Azure Portal

Azure portal の Azure Arc サービスは、ハイブリッドマシンを Azure に接続するために使用可能なサービスプリンシパルを効率的に作成する方法を提供します。

Azure portal で、Azure Arc に移動してから、左側のメニューの [サービスプリンシパル] を選択します。
[追加] を選択します。
サービスプリンシパルの名前を入力します。
サービスプリンシパルがサブスクリプション全体にアクセスできるのか、特定のリソースグループにしかアクセスできないのかを選択します。
サービスプリンシパルがアクセスできるサブスクリプション (および該当する場合は、リソースグループ) を選択します。
[クライアントシークレット] セクションで、生成されたクライアントシークレットを使用する期間を選択します。必要に応じて、[説明] フィールドに任意のフレンドリ名を入力します。
[ロールの割り当て] セクションで、[Azure Connected Machine のオンボード] を選択します。
［作成］ を選択します

Azure portal での Azure Arc サービスプリンシパルの作成画面のスクリーンショット。

Azure PowerShell

Azure PowerShell を使用して、New-AzADServicePrincipal コマンドレットでサービスプリンシパルを作成できます。

Azure PowerShell セッションのコンテキストを確認して、正しいサブスクリプションで作業していることを確認します。サブスクリプションを変更する必要がある場合は、Set-AzContext を使います。
```
Get-AzContext
```
サービスプリンシパルを作成して、選択したサブスクリプションでそれを Azure Connected Machine のオンボードロールに割り当てるには、次のコマンドを実行します。サービスプリンシパルが作成された後に、アプリケーション ID とシークレットが出力されます。シークレットは 1 年間有効です。その後、新しいシークレットを生成し、その新しいシークレットでスクリプトを更新する必要があります。
```
$sp = New-AzADServicePrincipal -DisplayName "Arc server onboarding account" -Role "Azure Connected Machine Onboarding"
$sp | Format-Table AppId, @{ Name = "Secret"; Expression = { $_.PasswordCredentials.SecretText }}
```
```
AppId                                Secret
-----                                ------
aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee PASSWORD_SHOWN_HERE
```
以下のプロパティの値は、azcmagent に渡されるパラメーターと共に使用されます。
- AppId プロパティの値は、--service-principal-id パラメーター値に使用されます
- Secret プロパティの値は、エージェントを接続するために使用される --service-principal-secret パラメーターに使用されます。

Azure portal からインストールスクリプトを生成する

ダウンロードとインストールを自動化し、Azure Arc との接続を確立するスクリプトは、Azure portal から入手できます。そのプロセスを完了するには、次の手順を実行します。

お使いのブラウザーで Azure portal に移動します。
[マシン - Azure Arc] ページで、左上にある [追加/作成] を選んで、次にドロップダウンメニューから [マシンの追加] を選びます。
[Azure Arc でサーバーを追加] ページで、[複数のサーバーを追加] タイルを選び、[スクリプトを生成] を選びます。
[基本] ページで、以下を設定します。
1. マシンの [サブスクリプション] と [リソースグループ] を選びます。
2. [リージョン] ドロップダウンの一覧で、サーバーのメタデータを格納する Azure リージョンを選択します。
3. [オペレーティングシステム] ドロップダウンリストで、スクリプトを実行するように構成されているオペレーティングシステムを選択します。
4. マシンがプロキシサーバー経由でインターネットに接続して通信を行っている場合は、プロキシサーバーの IP アドレス、またはマシンでプロキシサーバーとの通信に使用されている名前とポート番号を指定します。この構成を利用して、エージェントは HTTP プロトコルを使用してプロキシサーバー経由で通信します。 http://<proxyURL>:<proxyport> の形式で値を入力します。
5. [次へ] を選択します。
6. [認証] セクションの [サービスプリンシパル] ドロップダウンリストで、[Arc-for-servers] を選びます。その後、[次へ] を選びます。
[タグ] ページで、提案されている既定の物理的な場所のタグを確認し、値を入力するか、カスタムタグを 1 つ以上指定して標準をサポートします。
[次へ] を選択します。
[Download and run script]$次: スクリプトをダウンロードして実行する$ ページで概要情報を確認し、[ダウンロード] を選択します。引き続き変更が必要な場合は、[前へ] を選択します。

Windows の場合は OnboardingScript.ps1、Linux の場合は OnboardingScript.sh をコンピューターに保存するよう求められます。

エージェントをインストールして Azure に接続する

先ほど作成したスクリプトテンプレートがあれば、組織で利用中の自動化ツールを使用して、Connected Machine エージェントを複数のハイブリッド Linux コンピューターおよび Windows コンピューターにインストールして構成できます。このスクリプトでは、「Azure portal からハイブリッドマシンを Azure に接続する」に説明されているものに似た手順が実行されます。違いは、サービスプリンシパルを使用して azcmagent コマンドを実行し、Azure Arc への接続を確立する最後の手順です。

以下に、サービスプリンシパル用に使用する azcmagent コマンドを構成する設定を示します。

service-principal-id: サービスプリンシパルのアプリケーション ID を表す一意の識別子 (GUID)。
service-principal-secret | サービスプリンシパルのパスワード。
tenant-id : Microsoft Entra ID の専用インスタンスを表す一意識別子 (GUID)。
subscription-id: マシンが必要な Azure サブスクリプションのサブスクリプション ID (GUID)。
resource-group: 接続されたマシンの所属先にするリソースグループの名前。
location: サポート対象の Azure リージョンに関するページを参照してください。この場所は、リソースグループの場所と同じ場合も異なる場合もあります。
resource-name: (省略可能) オンプレミスマシンの Azure リソースの表記に使用されます。この値を指定しない場合は、マシンのホスト名が使用されます。

azcmagent コマンドラインツールの詳細は、Azcmagent のリファレンスに関するページを参照して確認することができます。

Note

Windows PowerShell スクリプトは、64 ビット版の Windows PowerShell からの実行のみをサポートしています。

エージェントをインストールし、それを Azure Arc 対応サーバーに接続するように構成したら、Azure portal に移動して、サーバーが正常に接続されたことを確認します。自分のマシンは Azure portal に表示されます。

Azure portal でのサーバー接続の成功を示すスクリーンショット。

次のステップ

計画と展開ガイドを参照して、任意の規模で Azure Arc 対応サーバーをデプロイし、一元的な管理と監視を実装する計画を立ててください。
エージェントの接続問題をトラブルシューティングする方法を確認してください。
VM のゲスト構成、想定された Log Analytics ワークスペースがマシンの報告先であることの確認、VM 分析情報を使用した監視など、Azure Policy を使用してマシンを管理する方法を確認してください。

ハイブリッド マシンを大規模に Azure に接続する