さっしーの試してみるか3: Azure Resource Manager

ラベル Azure Resource Manager の投稿を表示しています。すべての投稿を表示

2023年9月10日日曜日

Azure Arc対応サーバーをAzure Monitorに関連付ける　その3

Azure Arc対応サーバーをAzure Monitorに関連付ける　その1 と

Azure Arc対応サーバーをAzure Monitorに関連付ける　その2 の続き。

ポリシー割り当てを削除後、再作成します。

割り当てを再作成します。

改めて、割り当ての修復を確認します。

まだ出ない。。。

別のポリシーを比較対象としてみます。こちらのポリシーは、アクセス許可でロールが出ています。

修復タスクも表示できます。

リージョンが異なるぐらいか。

ポリシー割り当てを再削除後、再々作成します。

「システム割り当ての場所」は、既定値であるEast USのままとします。

システム割り当てマネージドIDのリージョンを変えてみましたが、効果無し。。。

ということで、「Windows Arc 対応マシンには Azure Monitor エージェントがインストールされている必要がある」は、監査しかできないのかも。

改めてポリシーを当たっていると「Azure Monitor エージェントを実行するように Windows Arc 対応マシンを構成する」というのがありました。
こちらを割り当ててみます。

「DeployIfNotExist」がいます。これは大丈夫そうか。

※調べている中で、ポリシー定義を設定するを見ていました。これが、割り当てるべきポリシーなのか否かの判断ポイントだったようです。

マネージドIDに対するアクセス許可で、ロールの定義が表示されました。ということで、割り当てるポリシーはこちらのようですね。（とりあえずシステム割り当てIDの場所は、East USとします）

確認できたので「作成」をクリックします。

結果、もろもろ作成できました。

ポリシーのコンプライアンスで、「Azure Monitor エージェントを実行するように Windows Arc 対応マシンを構成する」が表示されています。

実際に、Azure Arc対応サーバー（というか、画面を見る感じだと、Azure Arc対応マシンと言ったほうが良いのか）で、Azure MonitorエージェントがInstalledになるかは、次回確認します。

Azure Arc対応サーバーをAzure Monitorに関連付ける　その2

Azure Arc対応サーバーをAzure Monitorに関連付ける　その1 がうまくいっていないので対策します。

Azure Policyの割り当てを進める中で、警告が出ておりました。

改めて該当Azure Policyの修復を確認しました。

設定時には、出ていなかったアクセス許可はあるものの、なにも割り当たっていない状態ですね。

割り当ての概要ページを見てみました。修復タスクが無効なまま。

色々調べまして、定義されたロールを使用してマネージド ID にアクセス許可を付与するが関係しているのかなと思い、トライします。

定義されたロールを使用してマネージド ID にアクセス許可を付与するの1～6を進めました。7では「Azureに接続されたマシンのリソース管理者」を選ぶと仮定して進めます。で調べた割り当てIDで検索してみたのですが、出ない。。。

システムマネージドIDで無いほうが良いかも。

マネージドIDを作ってみます。

マネージドIDの作成完了。

改めて定義されたロールを使用してマネージド ID にアクセス許可を付与するの1～6を進めました。7では「Azureに接続されたマシンのリソース管理者」を選ぶと仮定しました。上記で作成したマネージドIDを指定します。

割り当てで、作成したユーザー割り当てマネージドIDに切り替えます。

この時点では、アクセス許可が表示されていないですね。「レビューと保存」をクリックします。

「保存」をクリックします。

改めて割り当ての修復を確認します。

アクセス許可が表示されないですね。ここが問題なのか、はたまた。。。

マネージドIDにより強力な権限を割り当ててみる、ポリシー割り当てを一度削除してリトライしてみるといったところを確認してみようかな。

Azure Arc対応サーバーをAzure Monitorに関連付ける　その1

※すでにAzure Monitorは有効となっています。

Azure Arc対応サーバーをAzure Monitorを簡単に関連付ける方法があるとのことで、調べました。下記の方法が該当します。

Azure Arc 対応サーバー上の Azure Monitor エージェントのデプロイオプション

Azure Arc 対応サーバーの VM 拡張機能を使用して監視エージェントを簡単にデプロイおよび管理する - Training | Microsoft Learn

Azure Arc 対応サーバーの VM 拡張機能として直接
Azure Policy のデプロイ
Azure Automation の使用

展開方法としては、上記があります。単一の展開方法として1と大量展開方法として2を確認してみます。

Azure Arc 対応サーバーの VM 拡張機能として直接

Azure Arc 対応サーバー用の拡張機能の自動アップグレード　に沿いたいと思いましたが、ちょっと違うかもしれないので、推測交えて進めます。

下記画面の「追加」をクリックします。

すると下記画面になりました。

「Azure Monitor Agnet for Windows」をクリック後、「次へ」をクリックします。

Proxy設定は、今回不要なので「確認と作成」をクリックします。

「作成」をクリックします。

しばらく待つと完了しました。

リソースの状態を確認します。

Azure Arc 対応サーバーの一覧からも、Azure Monitorが有効化（installed）されていることを確認しました。

Azure Policy のデプロイ

2023/09/10 追記　Azureポリシーとして割り当てるのは、「Windows Arc 対応マシンには Azure Monitor エージェントがインストールされている必要がある」ではなくて、「Azure Monitor エージェントを実行するように Windows Arc 対応マシンを構成する」のようです。「Azure Monitor エージェントを実行するように Windows Arc 対応マシンを構成する」には、deployIfNotExistsが定義されていました。詳しくは、Azure Arc対応サーバーをAzure Monitorに関連付ける　その3 の試行錯誤をご覧ください。

Azure Policyから下記のポリシー（not イニシアティブ）をクリックします。

そうすると下記の画面になります。「割り当て」をクリックします。

「スコープ」でオンプレミスのマシンを関連付けてあるリソースグループを選択しました。他は特に指定しないので、「次へ」をクリックします。

特に変更しないので、「次へ」をクリックします。

非常時のパラメーターを確認してみます。

特に変更しないので、「次へ」をクリックします。

修復でマネージドIDを使用するよう構成し、マネージドIDとしてはシステム割り当てマネージドIDとします。システム割り当てマネージドIDは、Japan Eastとします。（リソースグループと同じ場所）
※2023/09/10追記　ここでロールの定義が含まれていない旨の警告が出ています。修復タスクと関連するかを調べています。

「次へ」をクリックします。

非準拠メッセージを設定し、「次へ」をクリックします。