Requisitos de rede do Azure Arc

  • Artigo

Este artigo lista os pontos de extremidade, portas e protocolos necessários para serviços e recursos habilitados para o Azure Arc.

Geralmente os requisitos de conectividade incluem esses princípios.

  • Todas as conexões são TCP, a menos que especificado de outra forma.
  • Todas as conexões HTTP usam HTTPS e SSL/TLS com certificados oficialmente assinados e verificáveis.
  • Todas as conexões são de saída, a menos que especificado de outra forma.

Para usar um proxy, verifique se os agentes e o computador que executam o processo de integração atendem aos requisitos de rede neste artigo.

Pontos de extremidade do Kubernetes habilitados para arco do Azure

A conectividade com os pontos de extremidade baseados em Arc Kubernetes é necessária para todas as ofertas de Arc baseadas em Kubernetes, incluindo:

  • Kubernetes habilitado para Azure Arc
  • Serviços de aplicativo habilitados para o Azure Arc
  • Machine Learning habilitado para Azure Arc
  • Serviços de dados habilitados para Arco do Azure (somente modo de conectividade direta)

Importante

Para funcionar, os agentes do Azure Arc exigem as URLs de saída a seguir em https://:443. Para *.servicebus.windows.net, os websockets precisam ser habilitados para acesso de saída no firewall e no proxy.

Ponto de extremidade (DNS) Descrição
https://management.azure.com Necessário para que o agente se conecte ao Azure e registre o cluster.
https://<region>.dp.kubernetesconfiguration.azure.com Ponto de extremidade do plano de dados para o agente enviar o status por push e buscar informações de configuração.
https://login.microsoftonline.com
https://<region>.login.microsoft.com
login.windows.net		 Necessário para buscar e atualizar tokens do Azure Resource Manager.
https://mcr.microsoft.com
https://*.data.mcr.microsoft.com		 Necessário para efetuar pull de imagens de contêiner para agentes do Azure Arc.
https://gbl.his.arc.azure.com Necessário para obter o ponto de extremidade regional para extrair certificados da Identidade Gerenciada atribuída pelo sistema.
https://*.his.arc.azure.com Necessário para efetuar pull dos certificados de Identidade Gerenciada atribuída pelo sistema.
https://k8connecthelm.azureedge.net O az connectedk8s connect usa o Helm 3 para implantar agentes do Azure Arc no cluster do Kubernetes. Esse ponto de extremidade é necessário para o download do cliente Helm para facilitar a implantação do gráfico do Helm do agente.
guestnotificationservice.azure.com
*.guestnotificationservice.azure.com
sts.windows.net
https://k8sconnectcsp.azureedge.net		 Para cenários baseados em Conexão de Cluster e Localização Personalizada.
*.servicebus.windows.net Para cenários baseados em Conexão de Cluster e Localização Personalizada.
https://graph.microsoft.com/ Necessário quando o RBAC do Azure está configurado.
*.arc.azure.net Necessário para gerenciar clusters conectados em portal do Azure.
https://<region>.obo.arc.azure.com:8084/ Necessário quando Cluster Connect é configurado.
dl.k8s.io Necessário quando atualização automática do agente está habilitado.

Para traduzir o *.servicebus.windows.net caractere curinga em pontos de extremidade específicos, use o comando:

GET https://guestnotificationservice.azure.com/urls/allowlist?api-version=2020-01-01&location=<region>

Para obter o segmento de região de um ponto de extremidade regional, remova todos os espaços do nome da região do Azure. Por exemplo, região Leste dos EUA 2, o nome da região é eastus2.

Por exemplo: *.<region>.arcdataservices.com deve estar *.eastus2.arcdataservices.com na região Leste dos EUA 2.

Para ver uma lista de todas as regiões, execute este comando:

az account list-locations -o table

Get-AzLocation | Format-Table

Para obter mais informações, consulte Requisitos de rede do Kubernetes habilitados para arco do Azure.

Serviços de dados habilitados para Azure Arc

Esta seção descreve os requisitos específicos dos serviços de dados habilitados para o Azure Arc, além dos pontos de extremidade do Kubernetes habilitados para Arc listados acima.

Serviço Porta URL Direção Observações
Gráfico do Helm ( somente modo de conexão direta) 443 arcdataservicesrow1.azurecr.io Saída Provisiona o bootstrapper do controlador de dados do Azure Arc e os objetos de nível de cluster, como definições de recursos personalizadas, funções de cluster e vinculações de função de cluster, e é retirado de um Registro de Contêiner do Azure.
APIs do Azure Monitor * 443 *.ods.opinsights.azure.com
*.oms.opinsights.azure.com
*.monitoring.azure.com		 Saída O Azure Data Studio, e a CLI do Azure se conectam às APIs do Azure Resource Manager para enviar e recuperar dados de e para o Azure de alguns recursos. Consulte APIs do Azure Monitor.
Serviço de processamento de dados do Azure Arc * 443 *.<region>.arcdataservices.com2 Saída

1 O requisito depende do modo de implantação:

  • Para o modo direto, o pod do controlador no cluster do Kubernetes precisa ter conectividade de saída com os pontos de extremidade para enviar os logs, as métricas, o inventário e as informações de cobrança para o Azure Monitor/Serviço de Processamento de Dados.
  • Para o modo indireto, o computador que executa az arcdata dc upload precisa ter conectividade de saída com o Azure Monitor e o Serviço de Processamento de Dados.

2 Para as versões de extensão até e incluindo a de 13 de fevereiro de 2024, use san-af-<region>-prod.azurewebsites.net.

APIs do Azure Monitor

A conectividade do Azure Data Studio com o servidor de API do Kubernetes usa a criptografia e a autenticação do Kubernetes que você estabeleceu. Cada usuário que está usando o Azure Data Studio ou a CLI precisa ter uma conexão autenticada com a API do Kubernetes para executar muitas das ações relacionadas aos serviços de dados habilitados para Azure Arc.

Para obter mais informações, confira Requisitos e modos de conectividade.

Servidores habilitados para Azure Arc

A conectividade com pontos de extremidade de servidor habilitados para arco é necessária para:

  • SQL Server habilitado pelo Azure Arc

  • VMware vSphere habilitado para Azure Arc *

  • Azure Arc-enabled System Center Virtual Machine Manager *

  • Azure Arc-enabled Azure Stack (HCI) *

    *Necessário apenas para o gerenciamento de convidados habilitado.

Os pontos de extremidade de servidor habilitados para Azure Arc são necessários para todas as ofertas do Arc baseadas em servidor.

Configuração de rede

O agente do Azure Connected Machine para Linux e Windows comunica a saída com segurança ao Azure Arc pela porta TCP 443. Por padrão, o agente usa a rota padrão para a Internet para acessar os serviços do Azure. Opcionalmente, você pode Configurar o agente para usar um servidor proxy se sua rede exigir. Os servidores proxy não tornam o Connected Machine Agent mais seguro porque o tráfego já está criptografado.

Para proteger ainda mais a conectividade da rede com o Azure Arc, em vez de usar redes públicas e servidores proxy, você pode implementar um escopo de link privado do Azure Arc.

Observação

Os servidores habilitados para o Azure Arc não permitem o uso de um Gateway do Log Analytics como proxy para o Connected Machine Agent. Ao mesmo tempo, o Agente do Azure Monitor dá suporte ao gateway do Log Analytics.

Se a conectividade de saída estiver restrita por seu firewall ou servidor proxy, verifique se as URLs e as marcas de serviço listadas abaixo não estão bloqueadas.

Marcas de serviço

Além disso, permita o acesso às seguintes marcas de serviço:

Para obter uma lista de endereços IP para cada marca de serviço/região, confira o arquivo JSON Intervalos de IP do Azure e marcas de serviço – Nuvem pública. A Microsoft publica atualizações semanais que contêm cada serviço do Azure e os intervalos de IP que ele usa. Essas informações no arquivo JSON são a lista atual dos intervalos de IP que correspondem a cada marca de serviço. Os endereços IP estão sujeitos a alterações. Se os intervalos de endereço IP forem necessários para sua configuração de firewall, a Marca de Serviço AzureCloud deverá ser usada para permitir o acesso a todos os serviços do Azure. Não desabilite o monitoramento de segurança ou a inspeção dessas URLs. Permita-os como você faria com outro tráfego de Internet.

Se você filtrar o tráfego para a marca de serviço AzureArcInfrastructure, deverá permitir o tráfego para o intervalo completo de marcas de serviço. Os intervalos anunciados para regiões individuais, por exemplo, AzureArcInfrastructure.AustraliaEast, não incluem os intervalos de IP usados por componentes globais do serviço. O endereço IP específico resolvido para esses pontos de extremidade pode mudar ao longo do tempo dentro dos intervalos documentados, portanto, apenas usar uma ferramenta de pesquisa para identificar o endereço IP atual de um determinado ponto de extremidade e permitir o acesso a ele não será suficiente para garantir um acesso confiável.

Para obter mais informações, confira Marcas de serviço de rede virtual.

URLs

A tabela a seguir lista as URLs que devem estar disponíveis para instalar e usar o agente do Connected Machine.

Observação

Ao configurar o agente de computador conectado ao Azure para se comunicar com o Azure por meio de um link privado, alguns pontos de extremidade ainda precisam ser acessados pela Internet. A coluna Ponto de extremidade usado com link privado na tabela a seguir mostra quais pontos de extremidade podem ser configurados com um ponto de extremidade privado. Se a coluna mostrar Público para um ponto de extremidade, você ainda deverá permitir o acesso a esse ponto de extremidade por meio do firewall da sua organização e/ou servidor proxy para que o agente funcione.

recurso de agente Descrição Quando necessário Ponto de extremidade usado com o link privado
aka.ms Usado para resolver o script de download durante a instalação Somente no momento da instalação Setor Público
download.microsoft.com Usado para baixar o pacote de instalação do Windows Somente no momento da instalação Setor Público
packages.microsoft.com Usado para baixar o pacote de instalação do Linux Somente no momento da instalação Setor Público
login.windows.net Microsoft Entra ID Sempre Setor Público
login.microsoftonline.com Microsoft Entra ID Sempre Setor Público
pas.windows.net Microsoft Entra ID Sempre Setor Público
management.azure.com Azure Resource Manager – Para criar ou excluir o recurso de servidor do Arc Somente na conexão ou na desconexão de um servidor Público, a menos que um link privado de gerenciamento de recursos também esteja configurado
*.his.arc.azure.com Serviços de identidade híbrida e metadados Sempre Privado
*.guestconfiguration.azure.com Serviços de configuração de convidado e gerenciamento de extensão Sempre Privado
guestnotificationservice.azure.com, *.guestnotificationservice.azure.com Serviço de notificação para cenários de extensão e conectividade Sempre Setor Público
azgn*.servicebus.windows.net Serviço de notificação para cenários de extensão e conectividade Sempre Setor Público
*.servicebus.windows.net Para casos do Windows Admin Center e do SSH Caso esteja usando o SSH ou o Windows Admin Center do Azure Setor Público
*.waconazure.com Para conectividade com o Windows Admin Center Se estiver usar o Windows Admin Center Setor Público
*.blob.core.windows.net Baixar a fonte para extensões de servidores habilitados para o Azure Arc Sempre, exceto quando são usados pontos de extremidade privados Não usado quando o link privado está configurado
dc.services.visualstudio.com Telemetria do agente Opcional, não usado nas versões do agente 1.24+ Setor Público
*.<region>.arcdataservices.com1 Para o Arc SQL Server. Envia o serviço de processamento de dados, a telemetria de serviço e o monitoramento de desempenho para o Azure. Permite o TLS 1.3. Sempre Setor Público
www.microsoft.com/pkiops/certs Atualizações de certificado intermediário para ESUs (observação: usa o HTTP/TCP 80 e o HTTPS/TCP 443) Se você estiver usando ESUs habilitadas pelo Azure Arc. Obrigatório sempre para atualizações automáticas ou temporariamente, se você estiver baixando os certificados manualmente. Setor Público

1 Para versões de extensão até e incluindo 13 de fevereiro de 2024, use san-af-<region>-prod.azurewebsites.net. A partir de 12 de março de 2024 o processamento de dados do Azure Arc e a telemetria de dados do Azure Arc usam *.<region>.arcdataservices.com.

Observação

Para traduzir o curinga *.servicebus.windows.net em pontos de extremidade específicos, use o comando \GET https://guestnotificationservice.azure.com/urls/allowlist?api-version=2020-01-01&location=<region>. Dentro desse comando, a região precisa ser especificada para o espaço reservado <region>.

Para obter o segmento de região de um ponto de extremidade regional, remova todos os espaços do nome da região do Azure. Por exemplo, região Leste dos EUA 2, o nome da região é eastus2.

Por exemplo: *.<region>.arcdataservices.com deve estar *.eastus2.arcdataservices.com na região Leste dos EUA 2.

Para ver uma lista de todas as regiões, execute este comando:

az account list-locations -o table

Get-AzLocation | Format-Table

Protocolo TLS 1.2

Para garantir a segurança de dados em trânsito para o Azure, incentivamos você a configurar o computador para usar o protocolo TLS 1.2. Constatou-se que versões mais antigas do protocolo TLS/protocolo SSL eram vulneráveis e embora elas ainda funcionem no momento para permitir a compatibilidade com versões anteriores, elas não são recomendadas.

Plataforma/linguagem Suporte Mais informações
Linux Distribuições do Linux tendem a depender do OpenSSL para suporte a TLS 1.2. Verifique as OpenSSL Changelog para confirmar a sua versão do OpenSSL é suportada.
Windows Server 2012 R2 e versões posteriores Suporte e habilitado por padrão. Para confirmar que você ainda está usando o as configurações padrão.

Subconjunto de pontos de extremidade somente para ESU

Se você estiver usando servidores habilitados para Azure Arc apenas para as Atualizações de Segurança Estendidas para um ou ambos os seguintes produtos:

  • Windows Server 2012
  • SQL Server 2012

Você poderá habilitar o seguinte subconjunto de pontos de extremidade:

recurso de agente Descrição Quando necessário Ponto de extremidade usado com o link privado
aka.ms Usado para resolver o script de download durante a instalação Somente no momento da instalação Setor Público
download.microsoft.com Usado para baixar o pacote de instalação do Windows Somente no momento da instalação Setor Público
login.windows.net Microsoft Entra ID Sempre Setor Público
login.microsoftonline.com Microsoft Entra ID Sempre Setor Público
management.azure.com Azure Resource Manager – Para criar ou excluir o recurso de servidor do Arc Somente na conexão ou na desconexão de um servidor Público, a menos que um link privado de gerenciamento de recursos também esteja configurado
*.his.arc.azure.com Serviços de identidade híbrida e metadados Sempre Privado
*.guestconfiguration.azure.com Serviços de configuração de convidado e gerenciamento de extensão Sempre Privados
www.microsoft.com/pkiops/certs Atualizações de certificado intermediário para ESUs (observação: usa o HTTP/TCP 80 e o HTTPS/TCP 443) Sempre para atualizações automáticas ou temporariamente, se você estiver baixando os certificados manualmente. Setor Público
*.<region>.arcdataservices.com Serviço de processamento de dados do Azure Arc e telemetria de serviço. ESUs do SQL Server Setor Público

Para obter mais informações, confira Requisitos de rede do agente de computador conectado.

Ponte de recursos do Azure Arc

Esta seção descreve requisitos de rede adicionais específicos para implantar a ponte de recursos do Azure Arc em sua empresa. Esses requisitos também se aplicam ao VMware vSphere habilitado para Azure Arc e ao System Center Virtual Machine Manager habilitado para Azure Arc.

Conectividade de saída

As URLs do firewall e do proxy abaixo devem estar na lista de permissões para permitir a comunicação do computador de gerenciamento, da VM do dispositivo e do IP do plano de controle com as URLs necessárias da ponte de recursos do Arc.

Lista de permitidos de URL de Firewall/Proxy

Serviço Porta URL Direção Observações
Ponto de extremidade da API SFS 443 msk8s.api.cdp.microsoft.com Os IPs de VM do computador de gerenciamento e do dispositivo precisam de conexão de saída. Baixe o catálogo de produtos, os bits do produto e as imagens do sistema operacional do SFS.
Download de imagem de ponte de recursos (dispositivo) 443 msk8s.sb.tlu.dl.delivery.mp.microsoft.com Os IPs de VM do computador de gerenciamento e do dispositivo precisam de conexão de saída. Baixe as imagens do sistema operacional de ponte de recursos do Arc.
Registro de Contêiner da Microsoft 443 mcr.microsoft.com Os IPs de VM do computador de gerenciamento e do dispositivo precisam de conexão de saída. Faça o download de imagens de contêineres para a Ponte de Recursos do Arc.
Windows NTP Server 123 time.windows.com Os IPs da VM do dispositivo e do computador de gerenciamento (se o padrão do Hyper-V for o NTP do Windows) precisam de uma conexão de saída UDP Sincronização de tempo do sistema operacional no computador VM e Gerenciamento do dispositivo (Windows NTP).
Azure Resource Manager 443 management.azure.com Os IPs de VM do computador de gerenciamento e do dispositivo precisam de conexão de saída. Gerenciar recursos no Azure.
Microsoft Graph 443 graph.microsoft.com Os IPs de VM do computador de gerenciamento e do dispositivo precisam de conexão de saída. Obrigatório para o RBAC do Azure.
Azure Resource Manager 443 login.microsoftonline.com Os IPs de VM do computador de gerenciamento e do dispositivo precisam de conexão de saída. Necessário para atualizar tokens do ARM.
Azure Resource Manager 443 *.login.microsoft.com Os IPs de VM do computador de gerenciamento e do dispositivo precisam de conexão de saída. Necessário para atualizar tokens do ARM.
Azure Resource Manager 443 login.windows.net Os IPs de VM do computador de gerenciamento e do dispositivo precisam de conexão de saída. Necessário para atualizar tokens do ARM.
Serviço de Plano de dados de ponte de recursos (dispositivo) 443 *.dp.prod.appliances.azure.com O IP das VMs do dispositivo precisa da conexão de saída. Comunique-se com o provedor de recursos no Azure.
Download de imagem de contêiner de ponte de recursos (dispositivo) 443 *.blob.core.windows.net, ecpacr.azurecr.io Os IPs da VM do dispositivo precisam da conexão de saída. Necessário para efetuar pull de imagens de contêiner.
Identidade Gerenciada 443 *.his.arc.azure.com Os IPs da VM do dispositivo precisam da conexão de saída. Necessário para efetuar pull dos certificados de Identidade Gerenciada atribuída pelo sistema.
Download da imagem de contêiner do Azure Arc para Kubernetes 443 azurearcfork8s.azurecr.io Os IPs da VM do dispositivo precisam da conexão de saída. Efetuar pull de imagens de contêineres.
Agente do Azure Arc 443 k8connecthelm.azureedge.net Os IPs da VM do dispositivo precisam da conexão de saída. Implanta o agente do Azure Arc.
Serviço de telemetria ADHS 443 adhs.events.data.microsoft.com Os IPs da VM do dispositivo precisam da conexão de saída. Envia periodicamente os dados de diagnóstico necessários da Microsoft da VM do dispositivo.
Serviço de dados de eventos da Microsoft 443 v20.events.data.microsoft.com Os IPs da VM do dispositivo precisam da conexão de saída. Envie dados de diagnóstico do Windows.
Coleta de registros para a Ponte de Recursos do Arc 443 linuxgeneva-microsoft.azurecr.io Os IPs da VM do dispositivo precisam da conexão de saída. Registros de envio para componentes gerenciados pelo Dispositivo.
Download dos componentes da ponte de recursos 443 kvamanagementoperator.azurecr.io Os IPs da VM do dispositivo precisam da conexão de saída. Efetuar pull de artefatos para os componentes gerenciados do Dispositivo.
Gerenciador de pacotes de código aberto da Microsoft 443 packages.microsoft.com Os IPs da VM do dispositivo precisam da conexão de saída. Faça o download do pacote de instalação do Linux.
Local Personalizado 443 sts.windows.net Os IPs da VM do dispositivo precisam da conexão de saída. Obrigatório para o Local Personalizado.
Azure Arc 443 guestnotificationservice.azure.com Os IPs da VM do dispositivo precisam da conexão de saída. Obrigatório para o Azure Arc.
Local Personalizado 443 k8sconnectcsp.azureedge.net Os IPs da VM do dispositivo precisam da conexão de saída. Obrigatório para o Local Personalizado.
Dados de diagnóstico 443 gcs.prod.monitoring.core.windows.net Os IPs da VM do dispositivo precisam da conexão de saída. Envia periodicamente os dados de diagnóstico necessários da Microsoft.
Dados de diagnóstico 443 *.prod.microsoftmetrics.com Os IPs da VM do dispositivo precisam da conexão de saída. Envia periodicamente os dados de diagnóstico necessários da Microsoft.
Dados de diagnóstico 443 *.prod.hot.ingest.monitor.core.windows.net Os IPs da VM do dispositivo precisam da conexão de saída. Envia periodicamente os dados de diagnóstico necessários da Microsoft.
Dados de diagnóstico 443 *.prod.warm.ingest.monitor.core.windows.net Os IPs da VM do dispositivo precisam da conexão de saída. Envia periodicamente os dados de diagnóstico necessários da Microsoft.
Portal do Azure 443 *.arc.azure.net Os IPs da VM do dispositivo precisam da conexão de saída. Gerencia clusters a partir do portal do Azure.
Extensão e CLI do Azure 443 *.blob.core.windows.net O computador de gerenciamento precisa de uma conexão de saída. Baixe o instalador e a extensão da CLI do Azure.
Agente do Azure Arc 443 *.dp.kubernetesconfiguration.azure.com O computador de gerenciamento precisa de uma conexão de saída. Plano de dados usado para o agente do Arc.
Pacote do Python 443 pypi.org, *.pypi.org O computador de gerenciamento precisa de uma conexão de saída. Validar as versões do Kubernetes e do Python.
CLI do Azure 443 pythonhosted.org, *.pythonhosted.org O computador de gerenciamento precisa de uma conexão de saída.  Pacotes Python para instalação da CLI do Azure.
SSH 22 Arc resource bridge appliance VM IPs O computador de gerenciamento precisa de uma conexão de saída. Usada para solucionar problemas da VM do dispositivo.
Servidor de API do Kubernetes 6443 Arc resource bridge appliance VM IPs O computador de gerenciamento precisa de uma conexão de saída.  Gerenciamento da VM do dispositivo.

Para obter mais informações, consulte requisitos de rede da ponte de recursos do Azure Arc.

System Center Virtual Machine Manager habilitado para Azure Arc

O System Center Virtual Machine Manager (SCVMM) habilitado para Azure Arc também requer:

Serviço Porta URL Direção Observações
Servidor de gerenciamento SCVMM 443 URL do servidor de gerenciamento SCVMM O IP da VM do dispositivo e o ponto de extremidade do painel de controle precisam ter uma conexão de saída. Usado pelo servidor SCVMM para se comunicar com a VM do dispositivo e o plano de controle.

Para obter mais informações, consulte Visão geral do System Center Virtual Machine Manager habilitado para Arc.

VMware vSphere habilitado para Azure Arc

O VMware vSphere habilitado para Azure Arc também requer:

Serviço Porta URL Direção Observações
vCenter Server 443 URL do vCenter Server O IP da VM do dispositivo e o ponto de extremidade do painel de controle precisam ter uma conexão de saída. Usado pelo vCenter Server para se comunicar com a VM do dispositivo e o painel de controle.

Para obter mais informações, consulte Matriz de suporte para VMware vSphere habilitado para Azure Arc.

Pontos de extremidade adicionais

Dependendo do seu cenário, talvez você precise de conectividade com outras URLs, como as usadas pelo portal do Azure, ferramentas de gerenciamento ou outros serviços do Azure. Em particular, examine estas listas para garantir que haja conectividade com todos os pontos de extremidade necessários: