Dela via

Anslut maskiner i stor skala med hjälp av Gruppolicy

Du kan registrera Active Directory-anslutna Windows-datorer till Azure Arc-aktiverade servrar i stor skala med hjälp av grupprincip.

Först konfigurerar du en fjärrresurs som är värd för connected machine-agenten och ändrar sedan ett skript som anger den Arc-aktiverade serverns landningszon i Azure. Därefter kör du ett skript som genererar ett grupprincipobjekt (GPO) för att registrera en grupp datorer till Azure Arc-aktiverade servrar. Det här grupprincipobjektet kan tillämpas på plats-, domän- eller organisationsnivå. Tilldelningen kan också använda åtkomstkontrollistan (ACL) och annan säkerhetsfiltrering som är inbyggd i grupprincipen. Alla datorer i grupprincipens omfång registreras på Azure Arc-aktiverade servrar, så omfånget för grupprincipobjektet är att endast inkludera de datorer som du vill registrera i Azure Arc.

Innan du kommer igång måste du se till att din miljö uppfyller kraven för ansluten datoragent och nätverkskrav för distribution av Azure Arc-aktiverade servrar. För information om stödde regioner och andra relaterade överväganden, se stödda Azure-regioner. Mer information om design- och distributionskriterier finns i vår planeringsguide i stor skala.

Om du inte har en Azure-prenumeration, skapa ett gratis konto innan du börjar.

Automatisk anslutning för SQL Server

När du ansluter en Windows- eller Linux-server till Azure Arc som även har Microsoft SQL Server installerat ansluts ÄVEN SQL Server-instanserna automatiskt till Azure Arc. SQL Server aktiverad av Azure Arc tillhandahåller en detaljerad inventering och ytterligare administrativa funktioner för dina SQL Server-instanser och databaser. Som en del av anslutningsprocessen distribueras ett tillägg till din Azure Arc-aktiverade server och nya roller tillämpas på din SQL Server och dina databaser. Om du inte vill ansluta dina SQL-servrar automatiskt till Azure Arc kan du välja bort genom att lägga till en tagg på Windows- eller Linux-servern med namnet ArcSQLServerExtensionDeployment och värdet Disabled när du ansluter den till Azure Arc.

För mer information, se Hantera automatisk anslutning för SQL Server aktiverad av Azure Arc.

Förbered en fjärrdelning och skapa en tjänstens representant

Grupprincipobjektet, som används för att ansluta Azure Arc-aktiverade servrar, kräver en fjärrdelning med Connected Machine-agenten.

  1. Förbered en fjärrdelning för att vara värd för Azure Connected Machine-agentpaketet för Windows och konfigurationsfilen. Du måste kunna lägga till filer i den här fjärrresursen. Nätverksresursen måste vara tillgänglig för domänkontrollanter och domändatorer. Domändatorer bör ha ändringsbehörigheter och domänadministratörer ska ha fullständig behörighet.

  2. Följ stegen för att skapa en tjänstekonto för onboarding i stor skala.

    • Tilldela azure connected machine onboarding-rollen till tjänstens huvudnamn. Begränsa rollens omfång till azure-mållandningszonen.
    • Gör en anteckning om Service Principal-hemligheten, du kommer att behöva det här värdet senare.

  3. Ladda ned och packa upp mappen ArcEnabledServersGroupPolicy_vX.X.X från https://github.com/Azure/ArcEnabledServersGroupPolicy/releases/latest/. Den här mappen innehåller ArcGPO-projektstrukturen med skripten EnableAzureArc.ps1, DeployGPO.ps1och AzureArcDeployment.psm1. Dessa tillgångar används för att registrera datorn på Azure Arc-aktiverade servrar.

  4. Ladda ner den senaste versionen av Azure Connected Machine agent Windows Installer-paketet från Microsoft Download Center och spara det på den avlägsna delningen.

  5. Kör distributionsskriptet DeployGPO.ps1 på domänkontrollanten och ändra körningsparametrarna för DomainFQDN, ReportServerFQDN, ArcRemoteShare, tjänstens huvudnamnshemlighet, klient-ID för tjänstens huvudnamn, prenumerations-ID, resursgrupp, region, klientorganisation och AgentProxy (om tillämpligt). Information om dessa värden finns i skriptkommentarna.

    Följande kommando distribuerar till exempel grupprincipobjektet till domänen contoso.com och kopierar registreringsskriptet EnableAzureArc.ps1 till fjärrresursen AzureArcOnBoardServer.contoso.com på servern:

    .\DeployGPO.ps1 -DomainFQDN contoso.com -ReportServerFQDN Server.contoso.com -ArcRemoteShare AzureArcOnBoard -ServicePrincipalSecret $ServicePrincipalSecret -ServicePrincipalClientId $ServicePrincipalClientId -SubscriptionId $SubscriptionId -ResourceGroup $ResourceGroup -Location $Location -TenantId $TenantId [-AgentProxy $AgentProxy]

Tillämpa gruppolicyobjektet

I konsolen grupprinciphantering (GPMC) högerklickar du på önskad organisationsenhet (OU) och länkar grupprincipobjektet med namnet [MSFT] Azure Arc-servrar (datetime). Det här grupprincipobjektet har en schemalagd uppgift för att registrera datorerna. Inom 20 minuter replikeras grupprincipobjektet till respektive domänkontrollanter. Mer information om hur du skapar och hanterar grupprinciper i Microsoft Entra Domain Services finns i Administrera grupprincip i en hanterad domän i Microsoft Entra Domain Services.

Verifiera lyckad registrering

När du har installerat och konfigurerat agenten kontrollerar du att servrarna i organisationsenheten har anslutits till Azure Arc. Du kan göra det genom att se till att de visas i Azure-portalen under Azure Arc – Datorer.

Viktigt

När du har bekräftat att dina servrar har registrerats på Azure Arc inaktiverar du grupprincipobjektet. Detta förhindrar att PowerShell-kommandona i den schemalagda aktiviteten körs igen när systemet startas om eller när grupprincipen uppdateras.

Nästa steg