Azure-verificatie voor VM's

  • Artikel

> Van toepassing op: Azure Stack HCI, versie 23H2 en hoger.

Microsoft Azure biedt een reeks gedifferentieerde workloads en mogelijkheden die zijn ontworpen om alleen in Azure te worden uitgevoerd. Azure Stack HCI breidt veel van de voordelen uit die u van Azure krijgt, terwijl het wordt uitgevoerd in dezelfde vertrouwde on-premises of edge-omgevingen met hoge prestaties.

Azure-verificatie voor VM's maakt het mogelijk dat ondersteunde, exclusieve Azure-workloads buiten de cloud werken. Deze functie, gemodelleerd naar de IMDS Attestation-service in Azure, is een ingebouwde platform attestation-service die standaard is ingeschakeld op Azure Stack HCI 23H2 of hoger. Het helpt om garanties te bieden voor de werking van deze VM's in andere Azure-omgevingen.

Zie Azure-voordelen op Azure Stack HCI voor meer informatie over de vorige versie van deze functie op Azure Stack HCI, versie 22H2 of eerder.

Voordelen beschikbaar op Azure Stack HCI

Met Azure-verificatie voor VM kunt u de volgende voordelen gebruiken die alleen beschikbaar zijn in Azure Stack HCI:

Workload Wat het is Voordelen krijgen
Uitgebreide beveiligingsupdate (ESU's) Ontvang beveiligingsupdates zonder extra kosten voor het einde van de ondersteuning voor SQL- en Windows Server-VM's op Azure Stack HCI.
Zie Free Extended Security Updates (ESU) op Azure Stack HCI voor meer informatie.		 U moet ondersteuning voor verouderde besturingssystemen inschakelen voor oudere VM's waarop versie Windows Server 2012 of eerder wordt uitgevoerd met de meest recente onderhoudsstack Updates.
Azure Virtual Desktop (AVD) AVD-sessiehosts kunnen alleen worden uitgevoerd in de Azure-infrastructuur. Activeer uw Windows-VM's met meerdere sessies op Azure Stack HCI met behulp van Azure VM-verificatie.
Licentievereisten voor AVD zijn nog steeds van toepassing. Zie Prijzen voor Azure Virtual Desktop.		 Automatisch geactiveerd voor VM's met versie Windows 11 multisessie met update 4B die is uitgebracht op 9 april 2024 (22H2: KB5036893, 21H2: KB5036894) of hoger. U moet ondersteuning voor verouderde besturingssystemen inschakelen voor VM's met versie Windows 10 update voor meerdere sessies met 4B die is uitgebracht op 9 april 2024 KB5036892 of hoger.
Windows Server Datacenter: Azure Edition Azure Edition-VM's kunnen alleen worden uitgevoerd in de Azure-infrastructuur. Activeer uw Windows Server Azure Edition-VM's en gebruik de nieuwste Windows Server-innovaties en andere exclusieve functies.
Licentievereisten zijn nog steeds van toepassing. Zie manieren om een licentie te geven voor Windows Server-VM's in Azure Stack HCI.		 Automatisch geactiveerd voor VM's met Windows Server Azure Edition 2022 met update 4B die is uitgebracht op 9 april 2024 (KB5036909) of hoger.
Azure Policy gastconfiguratie Krijg gratis Azure Policy gastconfiguratie. Met deze Arc-extensie kunt u de controle en configuratie van besturingssysteeminstellingen als code voor servers en VM's inschakelen. Arc-agent versie 1.39 of hoger. Zie De nieuwste release van de Arc-agent.

Notitie

Werk uw VM's op Azure Stack HCI voor 17 juni 2024 bij naar de meest recente cumulatieve update om ervoor te zorgen dat de functionaliteit blijft aanhouden. Deze update is essentieel voor VM's om Azure-voordelen te kunnen blijven gebruiken. Zie het Azure Stack HCI-blogbericht voor meer informatie.

Architectuur

In deze sectie wordt optioneel gelezen en wordt uitgelegd hoe Verificatie van Azure-VM's in Azure Stack HCI 'onder de motorkap' werkt.

Verificatie van azure-VM's is afhankelijk van een ingebouwde platformverklaringsservice op Azure Stack HCI. Deze service is gemodelleerd naar dezelfde IMDS Attestation-service die wordt uitgevoerd in Azure en retourneert een bijna identieke nettolading. Het belangrijkste verschil is dat het on-premises wordt uitgevoerd en daarom garandeert dat VM's worden uitgevoerd op Azure Stack HCI in plaats van Azure.

Diagram met azure-verificatiearchitectuur.

  1. Verificatie van azure-VM's is standaard ingeschakeld met Azure Stack HCI met versie 23H2 of hoger. Tijdens het opstarten van de server genereert HciSvc een Integration Service via Hyper-V-sockets( VMBus) om beveiligde communicatie tussen VM's en servers te vergemakkelijken.

    Ondersteuning voor verouderde besturingssystemen: workloads die geen Win32-API-aanroepen kunnen uitvoeren of die geen rechtstreeks query's kunnen uitvoeren op een integratieservice, moeten ondersteuning voor verouderde besturingssystemen inschakelen. Deze instelling biedt een privé en niet-roueerbaar REST-eindpunt voor VM's op dezelfde server.

    Om dit eindpunt in te schakelen, wordt een interne vSwitch geconfigureerd op de Azure Stack HCI-server (met de naam AZSHCI_HOST-IMDS_DO_NOT_MODIFY). Daarna moeten VM's een NIC hebben geconfigureerd (AZSHCI_GUEST-IMDS_DO_NOT_MODIFY) en gekoppeld aan dezelfde vSwitch.

    Notitie

    Als u deze switch en NIC wijzigt of verwijdert, werkt de verificatie van azure-VM's niet goed. Als er fouten optreden, schakelt u de ondersteuning van oudere besturingssystemen uit en weer in.

  2. Wanneer Azure Stack HCI wordt gesynchroniseerd met Azure, verkrijgt HciSvc een certificaat van Azure en slaat het veilig op in een enclave op elke server.

    Notitie

    Certificaten worden vernieuwd telkens wanneer het Azure Stack HCI-cluster wordt gesynchroniseerd met Azure. Elke verlenging is 30 dagen geldig. Zolang u de gebruikelijke connectiviteitsvereisten van 30 dagen voor Azure Stack HCI handhaaft, is er geen gebruikersactie vereist om certificaten te vernieuwen.

  3. Om voordelen te activeren, vragen consumentenworkloads attestation aan bij servers. Ze proberen aanvragen te verzenden via VM Bus, of ze kunnen ook een query uitvoeren op het REST-eindpunt met behulp van de netwerkonderdelen die zijn geconfigureerd in de ondersteuning van het verouderde besturingssysteem. Beide benaderingen voor vm-servercommunicatie worden ondersteund en kunnen naast elkaar bestaan in hetzelfde cluster.

    Notitie

    Wanneer u ondersteuning voor verouderde besturingssystemen gebruikt, moet u handmatig toegang inschakelen voor VM's waarvoor de activering van voordelen is vereist.

    HciSvc retourneert vervolgens een ondertekend antwoord met behulp van het Azure-certificaat dat is opgeslagen. Consumenten verifiëren het antwoord en activeren de bijbehorende voordelen.

Verificatie van Azure-VM's beheren

Verificatie van Azure-VM's wordt standaard automatisch ingeschakeld in Azure Stack HCI 23H2 of hoger. In de volgende instructies vindt u een overzicht van de vereisten voor het gebruik van deze functie en stappen voor het beheren van voordelen (optioneel).

Notitie

Als u ESU's (Extended Security Updates) wilt inschakelen, moet u aanvullende instellingen uitvoeren en ondersteuning voor oudere besturingssystemen inschakelen.

Vereisten voor host

VM-vereisten

U kunt verificatie van Azure-VM's beheren met behulp van Windows Admin Center of PowerShell, of de status ervan weergeven met behulp van Azure CLI of de Azure Portal. In de volgende secties worden elke optie beschreven.

Serverstatus van Verificatie van Azure-VM's controleren

  1. Selecteer in Windows Admin Center Clusterbeheer in de bovenste vervolgkeuzelijst, navigeer naar het cluster dat u wilt activeren en selecteer vervolgens onder Instellingende optie Azure-verificatie voor VM's.

  2. Ga als volgende te werk om de status van de Verificatieserver voor azure-VM's te controleren:

    • Status op clusterniveau: Hoststatus wordt weergegeven als Aan.

    • Status op serverniveau: controleer op het tabblad Server in het dashboard of de status voor elke server wordt weergegeven als Actief in de tabel.

      Schermopname van de serverstatus.

Problemen met servers oplossen

  • Op het tabblad Server , als een of meer servers worden weergegeven als Verlopen:
    • Als de server meer dan 30 dagen niet is gesynchroniseerd met Azure, wordt de status ervan weergegeven als Verlopen of Inactief. Selecteer Synchroniseren met Azure om een handmatige synchronisatie te plannen.

Voordelen beheren die zijn geactiveerd op VM's

  1. Als u wilt controleren welke voordelen zijn geactiveerd op VM's, gaat u naar het tabblad VM's .

  2. Het dashboard toont het aantal VM's met:

    • Actieve voordelen: voor deze VM's zijn exclusieve Azure-functies geactiveerd via Verificatie van Azure-VM's.
    • Inactieve voordelen: deze VM's hebben exclusieve Azure-functies die verdere actie nodig hebben voordat ze worden geactiveerd.
    • Onbekend: we kunnen de in aanmerking komende voordelen voor deze VM's niet bepalen omdat Hyper-V-gegevensuitwisseling is uitgeschakeld. Zie de volgende sectie voor probleemoplossing.
    • Geen toepasselijke voordelen: deze VM's hebben geen exclusieve Azure-functies en vereisen daarom geen Verificatie van azure-VM's.

  3. In de tabel wordt het in aanmerking komende voordeel weergegeven dat van toepassing is op elke VM. Bekijk de volledige lijst met voordelen die beschikbaar zijn in Azure Stack HCI.

    Schermopname van het dashboard en de status van de virtuele machine.

Problemen met VM's oplossen

  • Op het tabblad VM's , als een of meer VM's worden weergegeven als Inactieve voordelen:

    • Als de voorgestelde actie is om updates te installeren, hebt u mogelijk niet de minimale versie van het besturingssysteem die is vereist voor het voordeel. Werk de VM bij om te voldoen aan de versievereisten voor workloads.
    • Als de voorgestelde actie is om gastservice-interface inschakelen, selecteert u deze en opent u het contextvenster om de Hyper-V-gastservice-interface in te schakelen. Deze functie is vereist voor VM's om met de host te communiceren via VMbus.
    • Als de voorgestelde actie betrekking heeft op ondersteuning van verouderde besturingssystemen, raadpleegt u Probleemoplossing voor ondersteuning van verouderde besturingssystemen.

  • Op het tabblad VM's , als een of meer VM's worden weergegeven als Onbekend:

Ondersteuning voor verouderde besturingssystemen

Voor oudere VM's die niet over de benodigde Hyper-V-functionaliteit (gastservice-interface) beschikken om rechtstreeks met de host te communiceren, moet u traditionele netwerkonderdelen configureren voor verificatie van Azure-VM's. Als u deze workloads hebt, zoals ESU's (Extended Security Updates), volgt u de instructies in deze sectie om ondersteuning voor verouderde besturingssystemen in te stellen.

1. Ondersteuning voor verouderde besturingssystemen op de host inschakelen

  1. Selecteer in Windows Admin Center clusterbeheer in de bovenste vervolgkeuzelijst, navigeer naar het cluster dat u wilt activeren en selecteer vervolgens onder Instellingende optie Azure-verificaties voor VM's.

  2. Selecteer status wijzigen in de sectie voor ondersteuning van verouderde besturingssystemen. Selecteer Aan in het contextvenster. Met deze instelling wordt ook netwerktoegang ingeschakeld voor alle bestaande VM's. U moet ondersteuning voor verouderde besturingssystemen handmatig inschakelen voor nieuwe VM's die u later maakt.

  3. Selecteer Status wijzigen om te bevestigen. Het kan enkele minuten duren voordat de wijzigingen door de servers worden weergegeven.

  4. Wanneer ondersteuning voor verouderde besturingssystemen is ingeschakeld:

    • Controleer of ondersteuning van verouderde besturingssystemen wordt weergegeven als Aan.

    • Controleer op het tabblad Server in het dashboard of ondersteuning van verouderde besturingssystemen voor elke server wordt weergegeven als Aan in de tabel.

      Schermopname van het dashboard met informatie over verouderde ondersteuning van het besturingssysteem.

2. Toegang inschakelen voor nieuwe VM's

U moet verouderde besturingssysteemnetwerken inschakelen voor alle nieuwe VM's die u maakt na de eerste installatie. Als u de toegang voor VM's wilt beheren, gaat u naar het tabblad VM's . Vm's waarvoor toegang tot verouderde besturingssystemen is vereist, worden weergegeven als Inactief. Selecteer de actie voor het instellen van verouderde besturingssysteemnetwerken voor de geselecteerde VM of voor alle bestaande VM's in het cluster.

Schermopname van het verouderde VM-dashboard.

Notitie

Als u ondersteuning voor oudere besturingssystemen wilt inschakelen op vm's van de eerste generatie, moet de VM eerst worden uitgeschakeld om de NIC toe te voegen.

Veelgestelde vragen

In deze sectie vindt u antwoorden op enkele veelgestelde vragen over het gebruik van Azure-voordelen.

Welke exclusieve Azure-workloads kan ik inschakelen met Verificatie van Azure-VM's?

Bekijk hier de volledige lijst.

Kost het iets om verificatie van azure-VM's in te schakelen?

Nee. Voor het inschakelen van verificatie van azure-VM's worden geen extra kosten in rekening gebracht.

Kan ik verificatie van azure-VM's gebruiken in andere omgevingen dan Azure Stack HCI?

Nee. Verificatie van azure-VM's is een functie die is ingebouwd in het Azure Stack HCI-besturingssysteem en kan alleen worden gebruikt in Azure Stack HCI.

Als ik net een upgrade heb uitgevoerd van 22H2 naar 23H2 en ik eerder de functie Azure Benefits heb ingeschakeld, moet ik dan iets nieuws doen?

Als u een upgrade hebt uitgevoerd van een cluster waarvoor eerder Azure Benefits in Azure Stack HCI was ingesteld voor uw workloads, hoeft u niets te doen wanneer u een upgrade uitvoert naar 23H2. Wanneer u een upgrade uitvoert, blijft de functie ingeschakeld en wordt ook ondersteuning van verouderde besturingssystemen ingeschakeld. Als u echter een verbeterde manier wilt gebruiken om vm-naar-host-communicatie via VM Bus in 23H2 uit te voeren, moet u ervoor zorgen dat u beschikt over de vereiste hostvereisten en de VM-vereisten.

Ik heb verificatie van Azure-VM's zojuist ingesteld op mijn cluster. Hoe kan ik ervoor zorgen dat verificatie van azure-VM's actief blijft?

  • In de meeste gevallen is er geen gebruikersactie vereist. Azure Stack HCI vernieuwt de verificatie van azure-VM's automatisch wanneer deze wordt gesynchroniseerd met Azure.
  • Als de verbinding met het cluster echter langer dan 30 dagen wordt verbroken en Verificatie van Azure VM wordt weergegeven als Verlopen, kunt u handmatig synchroniseren met behulp van PowerShell en Windows Admin Center. Zie Azure Stack HCI synchroniseren voor meer informatie.

Wat gebeurt er wanneer ik nieuwe VM's implementeer of vm's verwijder?

  • Wanneer u nieuwe VM's implementeert waarvoor verificatie van Azure-VM's is vereist, worden deze automatisch geactiveerd als ze de juiste VM-vereisten hebben.

  • Voor verouderde VM's die ondersteuning voor verouderde besturingssystemen gebruiken, kunt u echter handmatig nieuwe VM's toevoegen voor toegang tot Verificatie van Azure-VM's met behulp van Windows Admin Center of PowerShell, met behulp van de voorgaande instructies.

  • U kunt vm's nog steeds verwijderen en migreren zoals u gewend bent. De NIC AZSHCI_GUEST-IMDS_DO_NOT_MODIFY bestaat nog steeds op de VIRTUELE machine na de migratie. Als u de NIC vóór de migratie wilt opschonen, kunt u VM's verwijderen uit Azure VM-verificatie met behulp van Windows Admin Center of PowerShell met behulp van de voorgaande instructies voor ondersteuning van verouderde besturingssystemen. U kunt ook eerst migreren en daarna handmatig NIC's verwijderen.

Wat gebeurt er wanneer ik servers toevoeg of verwijder?

  • Wanneer u een server toevoegt, wordt deze automatisch geactiveerd als deze de juiste hostvereisten heeft.
  • Als u ondersteuning voor verouderde besturingssystemen gebruikt, moet u deze servers mogelijk handmatig inschakelen. Voer uit Enable-AzStackHCIAttestation [[-ComputerName] <String>] in PowerShell. U kunt nog steeds servers verwijderen of uit het cluster verwijderen zoals gebruikelijk. De vSwitch-AZSHCI_HOST-IMDS_DO_NOT_MODIFY bestaat nog steeds op de server na verwijdering uit het cluster. U kunt deze laten staan als u van plan bent om de server later weer toe te voegen aan het cluster, of u kunt de server handmatig verwijderen.

Volgende stappen