Verificação do Azure para VMs

Aplica-se a: Azure Stack HCI, versão 23H2

O Microsoft Azure oferece uma variedade de cargas de trabalho e recursos diferenciados projetados para serem executados somente no Azure. O Azure Stack HCI estende muitos dos mesmos benefícios que você obtém do Azure, enquanto é executado nos mesmos ambientes locais ou de borda familiares e de alto desempenho.

A verificação do Azure para VMs possibilita que cargas de trabalho exclusivas do Azure com suporte funcionem fora da nuvem. Esse recurso, modelado após o serviço de atestado IMDS no Azure, é um serviço de atestado de plataforma interno habilitado por padrão no Azure Stack HCI 23H2 ou posterior. Ele ajuda a fornecer garantias para que essas VMs operem em outros ambientes do Azure.

Para obter mais informações sobre a versão anterior desse recurso no Azure Stack HCI, versão 22H2 ou anterior, consulte Benefícios do Azure no Azure Stack HCI.

Benefícios disponíveis no Azure Stack HCI

A verificação do Azure para VM permite que você use esses benefícios disponíveis somente no Azure Stack HCI:

Carga de trabalho	O que é	Como obter benefícios
Atualização de segurança estendida (ESUs)	Obtenha atualizações de segurança sem custo adicional para VMs SQL e Windows Server de fim de suporte no Azure Stack HCI. Para obter mais informações, consulte ESU (Free Extended Security Updates) no Azure Stack HCI.	Você deve habilitar o suporte ao sistema operacional herdado para VMs mais antigas que executam a versão Windows Server 2012 ou anterior com as atualizações mais recentes da pilha de serviços.
Área de Trabalho Virtual do Azure (AVD)	Os hosts de sessão do AVD podem ser executados somente na infraestrutura do Azure. Ative suas VMs de várias sessões do Windows no Azure Stack HCI usando a verificação de VM do Azure. Os requisitos de licenciamento para AVD ainda se aplicam. Consulte Preços da Área de Trabalho Virtual do Azure.	Ativado automaticamente para VMs que executam a versão Windows 11 multi-session com atualização 4B lançada em 9 de abril de 2024 (22H2: KB5036893, 21H2: KB5036894) ou posterior. Você deve habilitar o suporte ao sistema operacional herdado para VMs que executam a versão multissessão do Windows 10 com atualização 4B lançada em 9 de abril de 2024 KB5036892 ou posterior.
Windows Server Datacenter: Azure Edition	As VMs do Azure Edition só podem ser executadas na infraestrutura do Azure. Ative suas VMs do Windows Server Azure Edition e use as inovações mais recentes do Windows Server e outros recursos exclusivos. Os requisitos de licenciamento ainda se aplicam. Veja maneiras de licenciar VMs do Windows Server no Azure Stack HCI.	Ativado automaticamente para VMs que executam o Windows Server Azure Edition 2022 com atualização 4B lançada em 9 de abril de 2024 (KB5036909) ou posterior.
Configuração de convidado do Azure Policy	Obtenha a configuração de convidado da Política do Azure sem nenhum custo. Essa extensão Arc permite a auditoria e a configuração de configurações do sistema operacional como código para servidores e VMs.	Arc agent versão 1.39 ou posterior. Consulte Versão mais recente do agente Arc.

Observação

Para garantir a funcionalidade contínua, atualize suas VMs no Azure Stack HCI para a atualização cumulativa mais recente até 17 de junho de 2024. Esta atualização é essencial para que as VMs continuem usando os benefícios do Azure. Consulte a postagem do blog do Azure Stack HCI para obter mais informações.

Gerenciar a verificação de VM do Azure

A verificação de VM do Azure é habilitada automaticamente por padrão no Azure Stack HCI 23H2 ou posterior. As instruções a seguir descrevem os pré-requisitos para usar esse recurso e as etapas para gerenciar benefícios (opcional).

Observação

Para habilitar as Atualizações de Segurança Estendidas (ESUs), você deve fazer uma configuração adicional e ativar o suporte ao sistema operacional herdado.

Pré-requisitos do host

• Verifique se você tem acesso a um sistema Azure Stack HCI, versão 23H2. Todos os servidores devem estar online, registrados e implantados em cluster. Para obter mais informações, consulte Registrar seus servidores com o Arc e consulte Implantar via portal do Azure.
• Instale o Hyper-V e o RSAT-Hyper-V-Tools.
• (Opcional) Se você estiver usando o Windows Admin Center, deverá instalar a extensão do Gerenciador de Cluster (versão 2.319.0) ou posterior.

Pré-requisitos da VM

• Certifique-se de atualizar suas VMs. Consulte os requisitos de versão para cargas de trabalho.

• Ative a Interface de Serviço de Convidado do Hyper-V. Consulte as instruções para o Windows Admin Center ou para o PowerShell.

Você pode gerenciar a verificação de VM do Azure usando o Windows Admin Center ou o PowerShell ou exibir seu status usando a CLI do Azure ou o portal do Azure. As seções a seguir descrevem cada opção.

Portal do Azure

1. Na página de recursos de cluster HCI do Azure Stack, navegue até a guia Configuração .

2. No recurso Verificação do Azure para VMs, exiba o status do atestado do host.

   

CLI do Azure

A CLI do Azure está disponível para instalação em ambientes Windows, macOS e Linux. Ele também pode ser executado no Azure Cloud Shell. Esta seção descreve como usar o Bash no Azure Cloud Shell. Para obter mais informações, confira Início Rápido para Azure Cloud Shell.

Inicie o Azure Cloud Shell e use a CLI do Azure para verificar a verificação da VM do Azure seguindo estas etapas:

1. Configurar parâmetros da assinatura, do grupo de recursos e do nome do cluster

   subscription="00000000-0000-0000-0000-000000000000" # Replace with your subscription ID
   resourceGroup="hcicluster-rg" # Replace with your resource group name
   clusterName="HCICluster" # Replace with your cluster name
   
   az account set --subscription "${subscription}"
   

2. Para exibir o status de verificação da VM do Azure em um cluster, execute o seguinte comando:

   az stack-hci cluster list \
   --resource-group "${resourceGroup}" \
   --query "[?name=='${clusterName}'].{Name:name, AzureBenefitsHostAttestation:reportedProperties.imdsAttestation}" \
   -o table
   

Windows Admin Center

Verificar o status do servidor da verificação da VM do Azure

1. No Windows Admin Center, selecione Gerenciador de Cluster no menu suspenso superior, navegue até o cluster que deseja ativar e, em Configurações, selecione Verificação do Azure para VMs.

2. Para verificar o status do servidor de verificação de VM do Azure:

   • Status no nível do cluster: o status do host aparece como Ativado.

   • Status no nível do servidor: na guia Servidor no painel, verifique se o status de cada servidor é exibido como Ativo na tabela.

     

Solucionar problemas de servidores

• Na guia Servidor, se um ou mais servidores aparecerem como Expirado:
  • Se o servidor não tiver sincronizado com o Azure por mais de 30 dias, seu status aparecerá como Expirado ou Inativo. Selecione em Sincronizar com o Azure para agendar uma sincronização manual.

Gerenciar benefícios ativados em VMs

1. Para verificar quais benefícios são ativados em VMs, navegue até a guia VMs .

2. O painel mostra o número de VMs com:

   • Benefícios ativos: essas VMs têm recursos exclusivos do Azure ativados por meio da verificação de VM do Azure.
   • Benefícios inativos: essas VMs têm recursos exclusivos do Azure que precisam de ação adicional antes da ativação.
   • Desconhecido: não podemos determinar os benefícios qualificados para essas VMs porque a troca de dados do Hyper-V está desativada. Consulte a seção de solução de problemas a seguir.
   • Sem benefícios aplicáveis: essas VMs não têm recursos exclusivos do Azure e, portanto, não exigem a verificação da VM do Azure.

3. A tabela exibe o benefício qualificado aplicável a cada VM. Consulte a lista completa de benefícios disponíveis no Azure Stack HCI.

   

Solucionar problemas de VMs

• Na guia VMs, se uma ou mais VMs aparecerem como benefícios Inativos:

  • Se a ação sugerida for Instalar atualizações, talvez você não tenha a versão mínima do sistema operacional necessária para o benefício. Atualize a VM para atender aos requisitos de versão para cargas de trabalho.
  • Se a ação sugerida for Ativar a Interface de Serviço de Convidado, selecione-a e abra o painel de contexto para habilitar a Interface de Serviço de Convidado do Hyper-V. Esse recurso é necessário para que as VMs se comuniquem com o host via VMbus.
  • Se a ação sugerida for referente ao suporte a sistemas operacionais herdados, consulte Solução de problemas para suporte a sistemas operacionais herdados.

• Na guia VMs, se uma ou mais VMs aparecerem como Desconhecidas:

  • Se você quiser determinar os benefícios disponíveis para essas VMs, poderá fazê-lo manualmente verificando a lista completa de benefícios disponíveis no Azure Stack HCI ou o Windows Admin Center poderá exibir essas informações. Para acessar as informações por meio do Windows Admin Center, habilite o KVP (intercâmbio de dados do Hyper-V) para suas VMs selecionando a ação Ativar a troca de dados do Hyper-V.

PowerShell

Verificar o status do servidor da verificação da VM do Azure

• Quando a configuração de verificação de VM do Azure for bem-sucedida, você poderá exibir o status do host. Verifique a propriedade de cluster IMDS Attestation executando o seguinte comando:

  Get-AzureStackHCI
  

• Ou, para exibir o status de verificação de VM do Azure para servidores, execute o seguinte comando:

  Get-AzureStackHCIAttestation [[-ComputerName] <string>]
  

Solucionar problemas de servidores

• Se a verificação de VM do Azure para um ou mais servidores ainda não estiver sincronizada e renovada com o Azure, ela poderá aparecer como Expirada ou Inativa. Agende uma sincronização manual:

  Sync-AzureStackHCI
  

Gerenciar benefícios ativados em VMs

• Para verificar o acesso à verificação de VM do Azure para VMs, execute o seguinte comando:

  Get-AzStackHCIVMAttestation
  

  Observação

  Uma VM com suporte para v2 pode se comunicar com o servidor usando o VMBus. Por outro lado, uma VM com suporte v1 é configurada com suporte ao sistema operacional herdado e pode acessar a verificação de VM do Azure via REST. Se uma VM oferecer suporte a v1 e v2, o método v2 (ou seja, VMBus) será usado principalmente, mas poderá retornar para v1 se a v2 encontrar um problema.

Solucionar problemas de VMs

• Para configurar o acesso à verificação de VM do Azure para VMs, você pode habilitar a Interface de Serviço de Convidado do Hyper-V.

  Para verificar se a Interface de Serviço de Convidado do Hyper-V está habilitada, execute:

  Get-VMIntegrationService [[-VMName] <VMName>] -Name "Guest Service Interface"
  

• Para ativar a Interface de Serviço de Convidado do Hyper-V:

  Enable-VMIntegrationService [[-VMName] <VMName>] -Name "Guest Service Interface"
  

• Para verificar se as VMs podem acessar a verificação de VM do Azure no host, execute o seguinte comando no host:

  Invoke-RestMethod -Headers @{"Metadata"="true"} -Method GET -Uri "http://127.0.0.1:42542/metadata/attested/document?api-version=2018-10-01" –usedefaultcredentials
  

Suporte a SO herdado

Para VMs mais antigas que não possuem a funcionalidade necessária do Hyper-V (Interface de Serviço de Convidado) para se comunicar diretamente com o host, você deve configurar componentes de rede tradicionais para verificação de VM do Azure. Se você tiver essas cargas de trabalho, como ESUs (Atualizações de Segurança Estendidas), siga as instruções nesta seção para configurar o suporte ao sistema operacional herdado.

Portal do Azure

Você não pode exibir o suporte ao sistema operacional herdado do portal do Azure no momento.

CLI do Azure

A CLI do Azure está disponível para instalação em ambientes Windows, macOS e Linux. Ele também pode ser executado no Azure Cloud Shell. Esta seção descreve como usar o Bash no Azure Cloud Shell. Para obter mais informações, consulte Guia de início rápido para o Azure Cloud Shell.

Inicie o Azure Cloud Shell e use a CLI do Azure para verificar a verificação da VM do Azure seguindo estas etapas:

1. Configure parâmetros de sua assinatura, grupo de recursos e nome do cluster:

   subscription="00000000-0000-0000-0000-000000000000" # Replace with your subscription ID
   resourceGroup="hcicluster-rg" # Replace with your resource group name
   clusterName="HCICluster" # Replace with your cluster name
   
   az account set --subscription "${subscription}"
   

2. Para exibir o status de suporte do sistema operacional herdado em um cluster, execute o seguinte comando:

   az stack-hci cluster list \
   --resource-group "${resourceGroup}" \
   --query "[?name=='${clusterName}'].{Name:name, AzureBenefitsHostAttestation:reportedProperties.supportedCapabilities}" \
   -o table
   

Windows Admin Center

1. Ative o suporte ao sistema operacional herdado no host

1. No Windows Admin Center, selecione Gerenciador de Cluster no menu suspenso superior, navegue até o cluster que deseja ativar e, em Configurações, selecione Verificações do Azure para VMs.

2. Na seção de suporte a SO herdado, selecione Alterar status. Selecione Ativado no painel de contexto. Essa configuração também habilita o acesso à rede para todas as VMs existentes. Você deve ativar manualmente o suporte ao sistema operacional herdado para quaisquer novas VMs criadas posteriormente.

3. Selecione Alterar status para confirmar. Pode levar alguns minutos para que os servidores reflitam as alterações.

4. Quando o suporte ao sistema operacional herdado é ativado com êxito:

   • Verifique se o suporte ao sistema operacional herdado aparece como Ativado.

   • Na guia Servidor no painel, verifique se o suporte ao sistema operacional herdado para cada servidor é exibido como Ativado na tabela.

     

2. Habilitar o acesso para novas VMs

Você deve habilitar a rede do sistema operacional herdado para todas as novas VMs criadas após a primeira configuração. Para gerenciar o acesso de VMs, navegue até a guia VMs . Qualquer VM que exija acesso de suporte ao sistema operacional herdado aparece como Inativa. Selecione a ação para Configurar a rede do sistema operacional herdado para a VM selecionada ou para todas as VMs existentes no cluster.

Observação

Para habilitar com êxito o suporte ao sistema operacional herdado em VMs de Geração 1, a VM deve primeiro ser desligada para permitir que a NIC seja adicionada.

PowerShell

1. Ative o suporte ao sistema operacional herdado no host

• Execute o seguinte comando em uma janela do PowerShell com privilégios elevados no cluster do Azure Stack HCI:

  Enable-AzStackHCIAttestation
  

• Ou, se você deseja adicionar todas as VMs existentes na instalação, você pode executar o seguinte comando:

  Enable-AzStackHCIAttestation -AddVM
  

• Verifique se o suporte ao sistema operacional herdado está ativado:

  Get-AzureStackHCIAttestation [[-ComputerName] <string>]
  

Solucionar problemas de servidores

• Para desativar e redefinir o suporte ao sistema operacional herdado no cluster, execute o seguinte comando:

  Disable-AzStackHCIAttestation -RemoveVM
  

2. Habilitar o acesso para VMs

• Para configurar o acesso à rede para VMs selecionadas, execute o seguinte comando no cluster do Azure Stack HCI:

  Add-AzStackHCIVMAttestation [-VMName]
  

• Ou, para adicionar todas as VMs existentes, execute o seguinte comando:

  Add-AzStackHCIVMAttestation -AddAll
  

• Obtenha uma lista de VMs que têm acesso ao suporte a sistemas operacionais herdados:

  Get-AzStackHCIVMAttestation
  

  Observação

  Para habilitar com êxito o suporte ao sistema operacional herdado em VMs de Geração 1, a VM deve primeiro ser desligada para permitir que a NIC seja adicionada.

Solucionar problemas de VMs

• Para remover o acesso ao suporte ao sistema operacional herdado para VMs selecionadas:

  Remove-AzStackHCIVMAttestation -VMName <string>
  

  Ou, para remover o acesso a todas as VMs existentes:

  Remove-AzStackHCIVMAttestation -RemoveAll
  

• Para verificar se as VMs podem acessar o suporte ao sistema operacional herdado no host, execute o seguinte comando na VM:

  Invoke-RestMethod -Headers @{"Metadata"="true"} -Method GET -Uri http://169.254.169.253:80/metadata/attested/document?api-version=2018-10-01
  

Perguntas frequentes

Esta seção fornece respostas para algumas perguntas frequentes sobre como usar os Benefícios do Azure.

Quais cargas de trabalho exclusivas do Azure posso habilitar com a verificação de VM do Azure?

Consulte a lista completa aqui.

Tem algum custo habilitar a verificação de VM do Azure?

Não. Ativar a verificação de VM do Azure não incorre em taxas extras.

Posso usar a verificação de VM do Azure em ambientes diferentes do Azure Stack HCI?

Não. A verificação de VM do Azure é um recurso interno do sistema operacional HCI do Azure Stack e só pode ser usado no HCI do Azure Stack.

Se acabei de atualizar para 23H2 a partir de 22H2 e ativei anteriormente o recurso Benefícios do Azure, preciso fazer algo novo?

Se você atualizou um cluster que anteriormente tinha os Benefícios do Azure no Azure Stack HCI configurados para suas cargas de trabalho, não precisará fazer nada ao atualizar para o 23H2. Quando você atualiza, o recurso permanece habilitado e o suporte ao sistema operacional herdado também é ativado. No entanto, se você quiser usar uma maneira aprimorada de fazer comunicação VM para host por meio do VM Bus no 23H2, verifique se você tem os pré-requisitos de host necessários e os pré-requisitos de VM.

Acabei de configurar a verificação de VM do Azure no meu cluster. Como posso garantir que a verificação de VM do Azure permaneça ativa?

• Na maioria dos casos, não é necessária nenhuma ação do usuário. O Azure Stack HCI renova automaticamente a verificação da VM do Azure quando sincroniza com o Azure.
• No entanto, se o cluster se desconectar por mais de 30 dias e a verificação da VM do Azure for exibida como Expirada, você poderá sincronizar manualmente usando o PowerShell e o Windows Admin Center. Para obter mais informações, consulte Sincronizando o Azure Stack HCI.

O que acontece quando implanto novas VMs ou excluo VMs?

• Quando você implanta novas VMs que exigem verificação de VM do Azure, elas são ativadas automaticamente se tiverem os pré-requisitos de VM corretos.

• No entanto, para VMs herdadas que usam suporte a sistema operacional herdado, você pode adicionar manualmente novas VMs para acessar a verificação de VM do Azure usando o Windows Admin Center ou o PowerShell, usando as instruções anteriores.

• Você ainda pode excluir e migrar VMs normalmente. O IMDS_DO_NOT_MODIFY AZSHCI_GUEST da NIC ainda existe na VM após a migração. Para limpar a NIC antes da migração, você pode remover VMs da verificação de VM do Azure usando o Windows Admin Center ou o PowerShell usando as instruções anteriores para suporte ao sistema operacional herdado ou pode migrar primeiro e excluir manualmente as NICs depois.

O que acontece quando adiciono ou removo servidores?

• Quando você adiciona um servidor, ele é ativado automaticamente se tiver os pré-requisitos corretos do Host.
• Se você estiver usando o suporte a sistemas operacionais herdados, talvez seja necessário habilitar manualmente esses servidores. Executar Enable-AzStackHCIAttestation [[-ComputerName] <String>] no PowerShell. Você ainda pode excluir servidores ou removê-los do cluster como de costume. O vSwitch AZSHCI_HOST-IMDS_DO_NOT_MODIFY ainda existe no servidor após a remoção do cluster. Você pode deixá-lo se estiver planejando adicionar o servidor de volta ao cluster mais tarde ou pode removê-lo manualmente.

Próximas etapas

• Atualizações de segurança estendidas (ESU) no Azure Stack HCI.
• Visão geral do Azure Stack HCI.
• Perguntas frequentes sobre o Azure Stack HCI.