Udostępnij za pośrednictwem

Przygotowanie do dostarczania rozszerzonych aktualizacji zabezpieczeń dla systemu Windows Server 2012

Systemy Windows Server 2012 i Windows Server 2012 R2 zostały wycofane z obsługi 10 października 2023 r. Serwery z obsługą Azure Arc umożliwiają rejestrowanie istniejących maszyn z systemem Windows Server 2012/2012 R2 w rozszerzonych aktualizacjach zabezpieczeń (ESU). Zapewniając elastyczność kosztów i ulepszone doświadczenie dostarczania, Azure Arc lepiej przygotowuje cię do migracji na platformę Azure.

Celem tego artykułu jest pomoc w zrozumieniu korzyści i przygotowaniu się do korzystania z serwerów z obsługą Arc w celu umożliwienia dostarczania ESU.

Uwaga

Maszyny usługi Azure VMware Solutions (AVS) kwalifikują się do bezpłatnych aktualizacji ESU i nie powinny być rejestrowane w aktualizacjach ESU udostępnianych za pośrednictwem usługi Azure Arc.

Główne korzyści

Dostarczanie jednostek ESU do maszyn z systemem Windows Server 2012/2012 R2 zapewnia następujące kluczowe korzyści:

  • Płatność zgodnie z rzeczywistym użyciem: elastyczność zarejestrowania się w miesięczną usługę subskrypcyjną z możliwością migracji w połowie roku.

  • Rozliczenia Azure: możesz odliczyć z istniejącego zobowiązania Microsoft Azure Consumption Commitment (MACC) i analizować koszty za pomocą Microsoft Cost Management and Billing.

  • Wbudowana inwentaryzacja: Stan pokrycia i rejestracji jednostek ESU systemu Windows Server 2012/2012 R2 na kwalifikujących się serwerach z obsługą usługi Arc jest identyfikowany w portalu Azure, podkreślając luki i zmiany statusu.

  • Dostarczanie bez klucza: rejestracja jednostek ESU na maszynach z systemem Windows Server 2012/2012 R2 z obsługą usługi Azure Arc nie będzie wymagać uzyskania ani aktywacji kluczy.

Dostęp do usług platformy Azure

W przypadku serwerów z obsługą usługi Azure Arc zarejestrowanych w systemach WS2012 ESU z obsługą usługi Azure Arc bezpłatny dostęp jest udostępniany tym usługom platformy Azure od 10 października 2023 r.:

  • Azure Update Manager — ujednolicone zarządzanie zgodnością aktualizacji i zarządzanie nią, które obejmuje nie tylko maszyny platformy Azure i maszyny hybrydowe, ale także zgodność aktualizacji ESU dla wszystkich maszyn z systemem Windows Server 2012/2012 R2. Rejestracja w jednostkach ESU nie ma wpływu na usługę Azure Update Manager. Po zarejestrowaniu w programie ESU za pomocą usługi Azure Arc serwer kwalifikuje się do otrzymywania aktualizacji ESU. Te poprawki można dostarczać za pośrednictwem usługi Azure Update Manager lub dowolnego innego rozwiązania do stosowania poprawek. Nadal trzeba będzie skonfigurować aktualizacje z usługi Microsoft Updates lub Windows Server Update Services.
  • Śledzenie zmian i spis — śledzenie zmian maszyn wirtualnych hostowanych na platformie Azure, lokalnie i w innych środowiskach w chmurze.
  • Azure Policy Guest Configuration - Skonfiguruj ustawienia kontroli na maszynie wirtualnej. Konfiguracja gościa obsługuje natywne maszyny wirtualne platformy Azure oraz fizyczne i wirtualne serwery spoza platformy Azure za pośrednictwem serwerów z obsługą usługi Azure Arc.

Dostępne są również inne usługi platformy Azure za pośrednictwem serwerów z obsługą usługi Azure Arc z ofertami, takimi jak:

  • Microsoft Defender dla Chmury — w ramach filaru zarządzania stanem zabezpieczeń w chmurze (CSPM) zapewnia ochronę serwera za pośrednictwem usługi Microsoft Defender dla serwerów, aby chronić cię przed różnymi zagrożeniami cybernetycznymi i lukami w zabezpieczeniach.
  • Microsoft Sentinel — zbieranie zdarzeń związanych z zabezpieczeniami i korelowanie ich z innymi źródłami danych.

Przygotuj dostawę jednostek ESU

  1. Zaplanuj i przygotuj się do połączenia maszyn z serwerami z obsługą usługi Azure Arc za pośrednictwem instalacji agenta połączonej maszyny platformy Azure (w wersji 1.34 lub nowszej), aby nawiązać połączenie z platformą Azure.

    Po nawiązaniu tego połączenia możesz zarejestrować serwery w celu otrzymywania rozszerzonych aktualizacji zabezpieczeń (ESU). Rozszerzone aktualizacje zabezpieczeń systemu Windows Server 2012 obsługują wersje Windows Server 2012 i R2 Standard i Datacenter. Funkcja przechowywania Windows Server 2012 nie jest obsługiwana.

    Zalecamy wdrożenie maszyn w usłudze Azure Arc w ramach przygotowań na moment, gdy powiązane usługi platformy Azure będą oferować obsługiwane funkcjonalności do zarządzania ESU. Po dołączeniu tych maszyn do serwerów z obsługą usługi Azure Arc będziesz mieć wgląd w ich pokrycie ESU i zarejestrujesz się za pomocą portalu Azure lub przy użyciu usługi Azure Policy. Rozliczenia dla tej usługi rozpoczynają się od października 2023 r. (tj. po zakończeniu wsparcia systemu Windows Server 2012).

    Uwaga

    Aby kupić ESU, musisz mieć pakiet Software Assurance za pośrednictwem programów licencjonowania zbiorowego, takich jak Umowa Enterprise (EA), subskrypcja Umowy Enterprise (EAS), Program Edukacyjnych Rozwiązań (EES), Program Serwerów i Chmury (SCE) lub za pośrednictwem programów Microsoft Open Value. Alternatywnie, jeśli maszyny z systemem Windows Server 2012/2012 R2 są licencjonowane za pośrednictwem SPLA lub z subskrypcją serwera, pakiet Software Assurance nie jest wymagany do zakupu jednostek ESU.

  2. Pobierz zarówno pakiet licencjonowania, jak i aktualizację stosu obsługi (SSU) dla serwera z obsługą usługi Azure Arc zgodnie z opisem w KB5031043: Procedura kontynuowania otrzymywania aktualizacji zabezpieczeń po zakończeniu rozszerzonej pomocy technicznej 10 października 2023 r.

Opcje wdrażania

Istnieje kilka opcji wdrażania na dużą skalę dla serwerów kompatybilnych z usługą Azure Arc.

Uwaga

Dostarczanie jednostek ESU za pośrednictwem usługi Azure Arc do maszyn wirtualnych uruchomionych w infrastrukturze pulpitów wirtualnych (VDI) nie jest zalecane. Systemy VDI powinny używać wielokrotnych kluczy aktywacji (MAK) do stosowania aktualizacji ESU. Zobacz Uzyskaj dostęp do klucza aktywacji wielokrotnej z Centrum administracyjnego Microsoft 365, aby dowiedzieć się więcej.

Tworzenie sieci kontaktów

Upewnij się, że maszyny mają niezbędną łączność sieciową z usługą Azure Arc. Opcje łączności obejmują:

  • Publiczny punkt końcowy
  • Serwer proxy
  • Łącze prywatne lub usługa Azure Express Route.

Zapoznaj się z wymaganiami wstępnymi dotyczącymi sieci, aby przygotować środowiska spoza platformy Azure do wdrożenia w usłudze Azure Arc.

Jeśli używasz serwerów Azure Arc tylko do rozszerzonych aktualizacji zabezpieczeń dla jednego lub obu z następujących produktów:

  • Windows Server 2012
  • SQL Server 2012

Możesz włączyć następujący podzbiór punktów końcowych:

Zasób agenta opis Jeśli jest to wymagane Punkt końcowy używany z prywatnym łączem
download.microsoft.com Służy do pobierania pakietu instalacyjnego systemu Windows W czasie instalacji tylko 1 Publiczne
login.windows.net Microsoft Entra ID Zawsze Publiczność
login.microsoftonline.com Microsoft Entra ID Zawsze Publiczność
*.login.microsoft.com Microsoft Entra ID Zawsze Publiczny
management.azure.com Azure Resource Manager — aby utworzyć lub usunąć zasób serwera Arc Podczas nawiązywania połączenia lub odłączania serwera tylko Publiczny, chyba że skonfigurowano również łącze prywatne do zarządzania zasobami
*.his.arc.azure.com Metadane i usługi tożsamości hybrydowej Zawsze Prywatne
*.guestconfiguration.azure.com Zarządzanie rozszerzeniami i usługi konfiguracji gościa Zawsze Prywatne
www.microsoft.com/pkiops/certs Aktualizacje certyfikatów pośrednich dla jednostek ESU (uwaga: korzysta z protokołów HTTP/TCP 80 i HTTPS/TCP 443) Zawsze w przypadku aktualizacji automatycznych lub tymczasowo w przypadku ręcznego pobierania certyfikatów. Publiczne
*.<region>.arcdataservices.com Usługa przetwarzania danych Azure Arc i telemetria usługi. ESU programu SQL Server Publiczność
*.blob.core.windows.net Pobierz pakiet rozszerzenia programu Sql Server Pakiety ESU dla programu SQL Server Nie jest wymagane w przypadku korzystania z usługi Private Link

1 Dostęp do tego adresu URL jest również wymagany podczas automatycznego przeprowadzania aktualizacji.

Napiwek

Aby skorzystać z pełnego zakresu ofert dla serwerów z obsługą usługi Arc, takich jak rozszerzenia i łączność zdalna, upewnij się, że zezwalasz na dodatkowe adresy URL, które mają zastosowanie do danego scenariusza. Aby uzyskać więcej informacji, zobacz Wymagania dotyczące sieci agenta maszyny połączonej.

Wymagane urzędy certyfikacji

Następujące urzędy certyfikacji są wymagane w przypadku rozszerzonych aktualizacji zabezpieczeń dla systemu Windows Server 2012:

W razie potrzeby te autorytety certyfikatów można pobrać i zainstalować ręcznie.

Następne kroki