Ler em inglês

Partilhar via

Decisões de planejamento para implantação em modo desconectado do Azure em sistemas integrados do Azure Stack Hub

  • Artigo

Depois de decidir como integrar o Azure Stack Hub em seu ambiente de nuvem híbrida, você pode concluir suas decisões de implantação do Azure Stack Hub.

Você pode implantar e usar o Azure Stack Hub sem uma conexão com a Internet. No entanto, com uma implantação desconectada, você está limitado a um armazenamento de identidades dos Serviços de Federação do Ative Directory (AD FS) e ao modelo de cobrança baseado em capacidade. Como a multilocação requer o uso do Microsoft Entra ID, a multilocação não é suportada para implantações desconectadas.

Escolha esta opção se:

  • Você tem restrições de segurança ou outras que exigem que você implante o Azure Stack Hub em um ambiente que não esteja conectado à Internet.
  • Você deseja impedir que os dados (incluindo dados de uso) sejam enviados para o Azure.
  • Você deseja usar o Azure Stack Hub puramente como uma solução de nuvem privada implantada em sua intranet corporativa e não está interessado em cenários híbridos.

Sugestão

Este tipo de ambiente é também chamado de cenário submarino .

Uma implantação desconectada não restringe você de conectar posteriormente sua instância do Azure Stack Hub ao Azure para cenários de VM de locatário híbrido. Isso significa que você não tem conectividade com o Azure durante a implantação ou não deseja usar a ID do Microsoft Entra como seu repositório de identidades.

Recursos prejudicados ou indisponíveis em implantações desconectadas

O Azure Stack Hub foi projetado para funcionar melhor quando conectado ao Azure, portanto, é importante observar que há alguns recursos e funcionalidades que estão prejudicados ou completamente indisponíveis no modo desconectado.

Funcionalidade Impacto no modo Desconectado
Implantação de VM com extensão DSC para configurar VM pós-implantação Extensão DSC com problemas procura na internet pelo mais recente WMF.
Implantação de VM com extensão do Docker para executar comandos do Docker Com problemas - O Docker tenta verificar a internet para obter a versão mais recente, e esta verificação falha.
Links de documentação no Azure Stack Hub Portal Indisponível - Links como Dar Feedback, Ajuda e Guia de início rápido que usam um URL da Internet não funcionam.
Remediação/mitigação de alertas que faz referência a um guia de remediação online Indisponível - Todos os links de correção de alerta que usam um URL da Internet não funcionam.
Marketplace - A capacidade de selecionar e adicionar pacotes da Galeria diretamente do Azure Marketplace Prejudicado - Quando você implanta o Azure Stack Hub em um modo desconectado, não pode baixar itens do marketplace usando o portal do Azure Stack Hub. No entanto, você pode usar a ferramenta de distribuição do marketplace para baixar os itens do marketplace para uma máquina que tenha conectividade com a Internet e, em seguida, transferi-los para seu ambiente do Azure Stack Hub.
Usando contas de federação do Microsoft Entra para gerenciar uma implantação do Azure Stack Hub Indisponível - Este recurso requer conectividade com o Azure. Em vez disso, o AD FS com uma instância local do Ative Directory deve ser usado.
Serviços de aplicativo Limitado - as aplicações web podem exigir acesso à Internet para obter conteúdo atualizado.
Interface de linha de comando (CLI) Prejudicada - A CLI tem funcionalidade reduzida para autenticação e provisionamento de entidades de serviço.
Visual Studio - Descoberta da Cloud Prejudicado - O Cloud Discovery ou descobre outros tipos de nuvens ou simplesmente não funciona.
Visual Studio - AD FS Prejudicado - Somente o Visual Studio Enterprise e o Visual Studio Code oferecem suporte à autenticação do AD FS.
Telemetria Indisponível - Dados de telemetria para o Azure Stack Hub e quaisquer pacotes de galeria de terceiros que dependem de dados de telemetria.
Autoridade de certificação (CA) Autoridade de certificação (CA) pública/externa
Indisponível – A implantação falhará se os certificados tiverem sido emitidos de uma autoridade de certificação pública, pois a conectividade com a Internet é necessária para acessar os serviços CRL (Lista de Revogação de Certificados) e OCSP (Online Certificate Status Protocol) no contexto de HTTPS.

Autoridade de certificação (CA) privada/interna
Sem impacto - Nos casos em que a implantação usa certificados emitidos por uma autoridade de certificação privada, como uma autoridade de certificação interna dentro de uma organização, apenas o acesso à rede interna ao ponto de extremidade da CRL é necessário. A conectividade com a Internet não é necessária, mas você deve verificar se sua infraestrutura do Azure Stack Hub tem o acesso à rede necessário para entrar em contato com o ponto de extremidade da CRL definido na extensão CDP de certificados.
Repositório de Chaves Prejudicado - Um caso de uso comum do Key Vault é fazer com que um aplicativo leia segredos em tempo de execução. Para esse caso de uso, o aplicativo precisa de um service principal no diretório. No Microsoft Entra ID, os utilizadores regulares (não administradores) podem, por predefinição, adicionar entidades de serviço. No Microsoft Entra ID (usando o AD FS), não está disponível. Essa deficiência coloca um obstáculo na experiência de ponta a ponta, porque sempre é preciso passar por um administrador de diretório para adicionar qualquer aplicativo.
Contentores Prejudicado - Não é possível importar imagens de contêiner no modo desconectado de um Registro de Contêiner do Azure no Azure público ou outro registro acessível. Consulte a entrada de FAQ em Registo de Contentores do Azure no Azure Stack Hub para obter informações sobre como importar imagens de contentores no Registo de Contentores do Azure para uma implementação desconectada do Azure Stack Hub a executar o Kubernetes.

Próximos passos