Azure Arc対応サーバーを管理してみよう - Azureポリシー編｜技術ブログ

Microsoft Azure

2023.06.01

みなさんこんにちは。以前、Azure以外の場所に存在する「サーバー」をAzure Arcに接続する方法について以下のブログ記事でご紹介いたしました。

本ブログ記事ではAzure Arcに接続したサーバー(Azure Arc対応サーバー)に対してAzureからどのような管理ができるのかをご紹介したいと思います。今回のテーマは「Azureポリシー」です。

AzureポリシーとAzure Arc

環境を管理するにあたっては「コンプライアンス」や「ガバナンス」が気になるところです。

Azureポリシーを利用すると、Azure上のリソースに対してある決まりごとに準拠しているかどうか評価することが可能です。 Azureでは以下のように様々なポリシーがビルトインで定義されています。(以下は「Monitoring」カテゴリのポリシー定義です。) また、カスタムでポリシー定義を作成することも可能です。
なお、ポリシーに準拠していないリソースに対して「修復」を行うといった機能もあります。 Azureポリシーの詳細についてはMicrosoft Learnをご参照ください。

一方でAzure Arcは、以前のブログ記事でお伝えした通り様々な環境に散らばったリソースを管理することができる「ポータル(=入り口)」です。 Azureポリシーは本来Azure上のリソースを評価するものでしたが、Azure Arcを利用することでオンプレミス環境やAzure以外のパブリッククラウドに存在するリソースも評価することができます。環境ごとにそれぞれ環境を管理していたものが、Azure Arcを利用することによって一元的に管理できるようになるという訳です。

Azure Arc対応サーバーをAzureポリシーで評価してみる

今回はAzureポリシーを利用してオンプレミス環境に存在するAzure Arc対応サーバーを評価してみたいと思います。

検証環境

今回利用する環境ではWindows Server 2022をAzure Arc対応サーバーとしています。

Windows Server 2022はオンプレミス環境に存在しているvSphere仮想マシンです。
今回は「Windows Arc 対応マシンには Azure Monitor エージェントがインストールされている必要がある」というポリシー定義を利用します。本サーバーはAzure Arcに接続したのみで、拡張機能などの設定は有効にしていません。このためAzureポリシーが適切に割り当てられれば、このサーバーはポリシーに非準拠と評価されるはずです。

ポリシーの割り当て

今回はポリシーをAzure Arcで利用しているリソースグループ「arc-rg」に割り当ててみます。

Azure Portalの「ポリシー」で「作成」配下の「割り当て」をクリックし、「ポリシーの割り当て」をクリックします。

今回はリソースグループを指定してポリシーを割り当てます。「基本」タブの「スコープ」でリソースグループ「arc-rg」を指定します。

「ポリシー定義」で「Windows Arc 対応マシンには Azure Monitor エージェントがインストールされている必要がある」を指定します。ここでは割り当て名を同名にしました。
その他のタブはデフォルト設定のままにし、「作成」をクリックします。

ポリシーによる評価

ポリシーの割り当て後しばらく待機し、評価が完了すると以下のようにリソースのコンプライアンスを確認することが可能です。ポリシー準拠していないと評価されていることが分かります。
上図の「Windows Arc 対応マシンにはAzure...」をクリックすると以下のようにリソースを確認することが可能です。ここではAzure Arc対応サーバーである「ws2022-arc」がポリシーに準拠していないと評価されていることが分かります。
「詳細」をクリックするとポリシー準拠状況の詳細を確認することが可能です。