mcpField
A
azure-arc

azure-arc

github.com/vinayaklatthe云与 DevOps17976 次安装1 天前更新
代码仓库

关于 azure-arc

azure-arc 是将本地、多云和边缘资源纳入 Azure Resource Manager 的指导技能，帮助团队在混合环境中统一应用 Azure 治理、安全、监控和更新管理。

主要功能

  1. 01接入混合服务器和 Kubernetes
  2. 02应用 Azure Policy 与机器配置
  3. 03扩展 Defender for Cloud 保护
  4. 04统一监控与更新管理
  5. 05通过 Azure RBAC 管理访问
  6. 06规划接入所需网络与代理

适用场景

  1. 01将本地服务器纳入 Azure 治理
  2. 02为多云机器应用安全策略
  3. 03集中管理非 AKS Kubernetes 集群
  4. 04监控并更新混合服务器群

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill azure-arc

安装后在 Claude Code 中输入/azure-arc确认已加载。

详细介绍

Azure Arc

Azure Arc 将本地、多云和边缘资源映射到 Azure Resource Manager 中，使其能够通过与 Azure 原生资源相同的控制平面进行治理、保护和管理，并将 Azure Policy、Microsoft Defender for Cloud 和 Azure Monitor 扩展到混合环境。

适用场景

将非 Azure 服务器、Kubernetes 集群和数据服务纳入统一的 Azure 治理与安全体系。需要通过统一界面和策略平面管理混合 / 多云机器时，请使用此技能。

请勿将此技能用于 Azure 原生 VM（直接使用 ARM）、Intune 管理的终端（intune-device-mgmt）或 Azure Stack HCI 部署。

根据资源类型选择 Arc 功能

资源类型Arc 服务可获得的功能
本地 / AWS / GCP 服务器Arc-enabled serversDefender for Cloud、Policy、Update Manager、Monitor、RBAC
非 AKS Kubernetes（本地、EKS、GKE）Arc-enabled Kubernetes通过 Flux 实现 GitOps、Policy、Monitor、Defender for Containers
本地 / 其他云上的 SQL ServerArc-enabled SQL Server资源清单、最佳实践评估、Defender
边缘的 PostgreSQL / SQL MIArc-enabled data services类似托管 PaaS 的边缘体验
混合应用平台（容器化）Arc-enabled App Services / Functions在 Arc-enabled K8s 上运行 PaaS

经验法则： 混合环境的安全状况管理应从 Arc-enabled servers 入手——这是价值最高、阻力最小的一步。Connected Machine 代理只需通过出站 HTTPS 连接，即可为整个混合环境提供 Defender for Cloud 和 Azure Policy。

方法

  1. 规划接入范围和标识 — 确定哪些订阅 / 资源组负责管理 Arc 资源。定义每个区域 / 每个业务部门的目标资源组。如果要通过脚本大规模接入，请预先创建服务主体。 验证：目标 RG 已存在，并已向接入标识分配 Azure Connected Machine Onboarding 角色。

  2. 规划网络和代理要求 — Connected Machine 代理需要通过出站 HTTPS（443）访问一组指定的 Microsoft 终结点。如果服务器位于企业代理之后，请为代理配置代理服务器和身份验证。部分终结点需要加入防火墙允许列表。 验证：试点服务器可以访问 *.his.arc.azure.com、*.guestconfiguration.azure.com、*.dp.kubernetesconfiguration.azure.com（适用于 K8s）；代理安装完成。

  3. 大规模接入服务器 — 先手动接入 5-10 台服务器（各一台 Windows 和 Linux）。然后编写脚本推广：Windows 使用 GPO / Ansible / Configuration Manager；Linux 使用 cloud-init / Ansible。代理脚本支持服务主体和标签。 验证：Arc 资源显示在目标 RG 中；状态为 Connected；标签已应用。

  4. 使用 Azure Policy + 机器配置进行治理 — 在 RG / 订阅范围内分配 Azure Policy 计划（例如 Azure Security Benchmark）。**机器配置（以前称为来宾配置）**可像审计 Azure VM 一样，审计 Arc 机器的操作系统内设置。 验证：ASB 计划显示 Arc 机器的合规状态；操作系统内审计返回结果（例如密码复杂性）。

  5. 扩展 Defender for Cloud — 在包含 Arc 资源的订阅上启用 Defender for Servers Plan 2。Defender 会在 Arc 机器上部署 MDE、文件完整性监控和自适应控制。 验证：Defender for Servers 显示 Arc 机器已受保护；MDE 显示这些机器已完成接入。

  6. 统一监控和更新 — 使用 Azure Monitor Agent（扩展）将 Arc 机器的日志发送到 Log Analytics。使用 Azure Update Manager 从 Azure 评估并部署整个混合环境的更新。

  7. 通过 Azure RBAC 授予访问权限 — Arc 机器是 ARM 资源。使用 Azure RBAC + PIM 管理有权操作这些机器的人员。Arc 代理还会在机器上启用托管标识，以便向 Azure 服务发起出站调用。

防护措施

  • 保护 Connected Machine 代理及其出站连接；将其托管标识的权限限制在最低限度。 代理标识一旦遭到入侵，就会成为进入 Azure 的横向移动路径。
  • 大规模接入前，规划好网络、代理和防火墙要求。 代理如果失败，可能不会报告任何信息——这会让人误以为整个环境状况良好，实际上却一片盲区。
  • 使用 Arc 统一安全态势，不要让混合服务器游离于 Defender for Cloud 之外。 “以后再处理混合环境”留下的缺口，正是勒索软件的可乘之机。
  • Arc Policy = 本地 Policy。 应用于 Azure VM 的策略也应应用于 Arc 计算机。在管理组或订阅级别分配策略，以便继承。
  • 为 Arc 资源采用与 Azure 原生资源一致的标记。 否则，成本报告、所有权信息和 Defender 优先级排序都会出错。
  • Defender for Servers Plan 2 按计算机计费。 接入时注意成本；先进行试点。

常见反模式

  • “未规划防火墙就接入服务器”——代理会悄无声息地失败；整个环境看起来像是未受管理。先配置允许列表。
  • “手动接入 5,000 台服务器”——难以维护。使用服务主体和标记编写脚本。
  • “只用 Defender for Servers Plan 1”——Plan 1 缺少 MDE、漏洞管理和文件完整性功能。生产环境应使用 Plan 2。
  • “把 Arc 代理当作远程执行后门”——这种做法看似诱人，却会破坏安全模型。使用由 RBAC 管理的 ARM Run Command。
  • “为 Arc 计算机使用与 Azure VM 不同的标记”——报告会出现偏差。使用相同的标记方案。
  • “因为传统数据中心即将淘汰，所以不接入其中的服务器”——它们不会像你想象的那么快消失；未受管理的数据中心正是安全事件的起源。

示例提示词

  • 将本地服务器接入 Azure Arc，并将 Defender for Cloud 扩展到这些服务器。
  • 如何通过 Azure 使用 Azure Arc 管理多云计算机？
  • 通过服务主体大规模部署 Azure Arc 代理并应用安全策略。
  • 通过 Flux GitOps 将启用了 Arc 的 Kubernetes 集群纳入集中治理。
  • 将 Azure Security Benchmark 计划应用于启用了 Arc 的服务器。
  • 在大规模接入 Arc 之前，规划网络和代理要求。

Microsoft Learn

评论

支持 Markdown