你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

准备为 Windows Server 2012 提供扩展安全更新

  • 项目

随着 Windows Server 2012 和 Windows Server 2012 R2 于 2023 年 10 月 10 日终止支持，已启用 Azure Arc 的服务器允许在扩展安全更新 (ESU) 中注册现有的 Windows Server 2012/2012 R2 计算机。 Azure Arc 提供成本灵活性和改进的交付体验，使你能够更好地迁移到 Azure。

本文旨在帮助你了解其优点，以及如何准备使用已启用 Arc 的服务器来提供 ESU。

注意

Azure VMware 解决方案 (AVS) 计算机有资格获得免费 ESU，但不应注册通过 Azure Arc 启用的 ESU。

关键优势

为 Windows Server 2012/2012 R2 计算机提供 ESU 具有以下主要优势：

  • 即用即付：可以灵活地注册每月订阅服务，并能够在年中迁移。

  • Azure 计费：可以降低现有的 Microsoft Azure 使用量承诺 (MACC)，并使用 Microsoft 成本管理和计费来分析成本。

  • 内置清单：Azure 门户中标识了符合条件的已启用 Arc 的服务器上的 Windows Server 2012/2012 R2 ESU 的覆盖范围和注册状态，其中突出显示了差异和状态更改。

  • 无密钥交付：在已启用 Azure Arc 的 Windows Server 2012/2012 R2 计算机上注册 ESU 不需要获取或激活密钥。

对 Azure 服务的访问权限

对于在 Azure Arc 启用的 WS2012 ESU 中注册的启用 Azure Arc 的服务器，从 2023 年 10 月 10 日起可免费访问以下 Azure 服务：

  • Azure 更新管理器 - 统一管理和治理更新符合性，不仅包括 Azure 和混合计算机，还包括所有 Windows Server 2012/2012 R2 计算机的 ESU 更新符合性。 在 ESU 中进行注册不会影响 Azure 更新管理器。 通过 Azure Arc 在 ESU 中进行注册后，服务器将能够获得 ESU 修补程序。 这些修补程序可以通过 Azure 更新管理器或任何其他修补解决方案提供。 你仍需要从 Microsoft 更新或 Windows Server Update Services 来配置更新。
  • Azure 自动化更改跟踪和清单 - 跟踪 Azure、本地和其他云环境中托管的虚拟机的更改。
  • Azure Policy 来宾配置 - 审核虚拟机中的配置设置。 来宾配置通过已启用 Azure Arc 的服务器支持本机 Azure VM 以及非 Azure 物理和虚拟服务器。

此外，还有通过已启用 Azure Arc 的服务器提供的其他 Azure 服务，包括以下产品/服务：

  • Microsoft Defender for Cloud - 是云安全态势管理 (CSPM) 支柱的一部分，它通过 Microsoft Defender for Servers 提供服务器保护，以帮助保护你免受各种网络威胁和漏洞的影响。

  • Microsoft Sentinel - 收集与安全相关的事件，并将其与其他数据源相关联。

    注意

    ESU 的激活计划于 2023 年第三季度进行。 此外，我们还计划在第三季度使用 Azure 更新管理器和 Azure Policy 等 Azure 服务来为管理符合 ESU 条件的 Windows Server 2012/2012 R2 计算机提供支持。

准备提供 ESU

规划和准备通过安装 Azure Connected Machine 代理（版本 1.34 或更高版本）来建立与 Azure 的连接，将计算机加入已启用 Azure Arc 的服务器。 Windows Server 2012 扩展安全更新支持 Windows Server 2012 和 R2 Standard 和 Datacenter 版本。 不支持 Windows Server 2012 存储。

我们建议将计算机部署到 Azure Arc，以便为相关 Azure 服务提供支持的功能来管理 ESU 做好准备。 将这些计算机加入到已启用 Azure Arc 的服务器后，你将可以了解其 ESU 覆盖范围，并通过 Azure 门户或使用 Azure Policy 进行注册。 此服务的计费从 2023 年 10 月（即 Windows Server 2012 终止支持后）开始。

注意

若要购买 ESU，必须通过批量许可计划获得软件保障，例如企业协议 (EA)、企业协议订阅 (EAS)、教育解决方案合约 (EES)、服务器和云合约 (SCE)，或者通过 Microsoft 开放价值计划获得。 或者，如果 Windows Server 2012/2012 R2 计算机通过 SPLA 或服务器订阅获得许可，则无需软件保障即可购买 ESU。

还必须为已启用 Azure Arc 的服务器下载许可包和服务堆栈更新 (SSU)，如KB5031043：在 2023 年 10 月 10 日结束延期支持后继续接收安全更新的过程。

部署选项

已启用 Azure Arc 的服务器有多个大规模加入选项，包括通过 Configuration Manager 运行自定义任务序列以及通过组策略部署计划任务。 还有大规模 ESU 交付选项，可通过 Azure Arc 用于 VMware vCenter 托管 VM 和 SCVMM 托管 VMs。

注意

不建议通过 Azure Arc 将 ESU 传送到虚拟桌面基础结构 (VDI) 上运行的虚拟机。 VDI 系统应使用多次激活密钥 (MAK) 来应用 ESU。 有关详细信息，请参阅从 Microsoft 365 管理中心访问多次激活密钥。

网络

连接选项包括公共终结点、代理服务器和专用链接或 Azure Express Route。 查看网络先决条件，准备非 Azure 环境以部署到 Azure Arc。

对于下面一种或全部两种产品，如果仅对扩展安全更新使用已启用 Azure Arc 的服务器，请执行以下操作：

  • Windows Server 2012
  • SQL Server 2012

可启用以下终结点子集：

代理资源 说明 需要时 与专用链接一起使用的终结点
aka.ms 用于在安装过程中解析下载脚本 仅用于安装时 公共
download.microsoft.com 用于下载 Windows 安装包 仅用于安装时 公共
login.windows.net Microsoft Entra ID 始终 公共
login.microsoftonline.com Microsoft Entra ID 始终 公用
management.azure.com Azure 资源管理器 - 创建或删除 Arc 服务器资源 仅连接或断开服务器时 公共，除非还配置了资源管理专用链接
*.his.arc.azure.com 元数据和混合标识服务 Always 专用
*.guestconfiguration.azure.com 扩展管理和来宾配置服务 Always Private
www.microsoft.com/pkiops/certs ESU 的中间证书更新（注意：请使用 HTTP/TCP 80 和 HTTPS/TCP 443） 如果是自动更新，则始终使用；如果手动下载证书，则临时使用。 公开
*.<region>.arcdataservices.com Azure Arc 数据处理服务和服务遥测。 SQL Server ESU 公用

提示

若要利用已启用 Arc 的服务器的完整产品/服务，例如扩展和远程连接，请确保允许适用于你的场景的其他 URL。 有关详细信息，请参阅 Connected Machine 代理网络要求。

后续步骤