Organización de recursos y inventario nativo en la nube con servidores habilitados para Azure Arc

El inventario nativo de la nube significa que todos los servidores aparecen en una vista consolidada y se usan las herramientas organizativas de Azure para ordenarlos y administrarlos. Puede organizar los recursos, aplicar etiquetas como etiquetas y usar herramientas como Change Tracking y Azure Resource Graph para un inventario activo. El resultado es una vista clara de "servidores en todas partes" de Azure, con agrupación flexible para satisfacer las necesidades de su organización.

Organización de recursos en Azure

La administración de un inventario de servidores en Azure comienza por comprender la jerarquía de recursos de Azure y cómo se compara con la organización tradicional de Active Directory (AD). En un entorno de dominio, es posible que tenga grupos de seguridad, colecciones de dispositivos, bosques, dominios y UNIDADES organizativas (unidades organizativas) para agrupar servidores, lo que suele reflejar la estructura o las ubicaciones empresariales. Azure tiene su propia jerarquía para organizar los recursos en la nube, incluidos los conceptos descritos en esta sección.

Inquilinos de Azure

Un inquilino es una entidad de id. de Microsoft Entra que normalmente abarca una organización. Puede pensar en un inquilino como contenedor de nivel superior para todos los recursos e identidades de Azure, de forma análoga a un bosque de AD. Es el límite de confianza en el que residen las suscripciones y los usuarios. Sin embargo, Microsoft Entra es principalmente un almacén de identidades y no organiza los servidores por unidad organizativa. En su lugar, Azure usa suscripciones, grupos de administración y grupos de recursos para la organización de recursos.

Suscripciones y grupos de administración

Una suscripción de Azure es un contenedor de recursos y facturación dentro del inquilino. Por ejemplo, puede usar suscripciones independientes para distintos entornos o departamentos.

Se pueden agrupar varias suscripciones en grupos de administración para aplicar la gobernanza, de forma similar a la forma en que varios dominios o sitios de AD pueden supervisarse conjuntamente. Los grupos de administración permiten crear jerarquías que reflejen la estructura de la organización y apliquen directivas o controles de acceso entre suscripciones. Es posible que piense en los grupos de administración como agrupaciones de nivel superior (como una empresa completa o división) y suscripciones como unidades principales de implementación.

Grupos de recursos

En Azure, un grupo de recursos es el concepto más cercano a una unidad organizativa (OU) para los recursos. Es un contenedor lógico dentro de una suscripción que puede contener recursos relacionados como máquinas virtuales (VM), servidores habilitados para Arc y cuentas de almacenamiento.

Los administradores del sistema pueden usar grupos de recursos para agrupar servidores por aplicación, entorno o ubicación y, a continuación, asignar directivas y roles de usuario en ese nivel de grupo. Por ejemplo, al igual que podría tener una unidad organizativa "HQ-Servers" con administradores delegados y ciertos objetos de directiva de grupo (GPO) de Active Directory, podría tener un grupo de recursos "HQ-Servers" con asignaciones de roles específicas y directivas de Azure. En Azure, un servidor solo puede pertenecer a un grupo de recursos a la vez (similar al anidamiento de unidades organizativas), pero puede moverlo entre grupos de recursos si es necesario.

Etiquetas

En Active Directory o System Center Configuration Manager (SCCM), puede usar atributos o crear colecciones dinámicas (consultas) para agrupar servidores. En Azure, puede lograr esta categorización mediante etiquetas, que son metadatos de clave-valor personalizados que se adjuntan a los recursos.

Las etiquetas permiten agrupar y filtrar recursos de forma flexible entre grupos de recursos o incluso suscripciones. Puede usar consultas de Azure Resource Graph para enumerar o notificar en todos los servidores con determinadas etiquetas, de forma similar a ejecutar una consulta en SCCM para una colección. Esta funcionalidad proporciona vistas de inventario que no están enlazadas por una sola jerarquía, una ventaja sobre las agrupaciones de unidades organizativas estáticas.

Grupos de servicios de Azure

Un nuevo concepto en versión preliminar, los grupos de servicios de Azure permiten la agrupación dinámica de recursos entre suscripciones y grupos de recursos. Piense en ello como crear un grupo personalizado de servidores (u otros recursos) desde cualquier lugar del inquilino para supervisar o administrar juntos.

Por ejemplo, podría crear un grupo "Todos los servidores SQL Server" para agregar instancias de SQL Server en varios grupos de recursos, sin incluir otros tipos de recursos. Los grupos de servicios habilitan varias jerarquías en paralelo (un recurso puede pertenecer a varios grupos) sin cambiar la organización de recursos subyacente.

Aunque no se puede aplicar Azure Policy ni el control de acceso basado en rol de Azure (RBAC de Azure) a los grupos de servicios, pueden ser útiles para las vistas de inventario y la supervisión agregada de los sistemas relacionados. Estos usos son similares a cómo puede usar colecciones de dispositivos SCCM o grupos dinámicos de AD para ver un conjunto de máquinas.

Inventario e seguimiento de cambios de Azure

Azure Change Tracking e Inventario registra continuamente los cambios en software, registro, servicios y archivos en máquinas virtuales de Azure y servidores habilitados para Arc, como si tuviera una base de datos de administración de configuración (CMDB) siempre activa y un auditor de cambios. Los registros detallados muestran qué software se instala en cada servidor y cuándo se realizaron cambios, lo que ayuda con la solución de problemas y el cumplimiento. Por ejemplo, puede ver cuándo se detuvo un servicio, se aplicó una actualización o se cambió un archivo de configuración.

Gráfico de Recursos de Azure

Azure Resource Graph es un motor de consultas eficaz que le permite consultar todos los recursos de Azure (incluidos los servidores habilitados para Arc) mediante el lenguaje de consulta Kusto. Por ejemplo, puede ejecutar una consulta para buscar todos los servidores habilitados para Arc en una región específica con una etiqueta determinada o todas las máquinas virtuales que ejecutan Windows Server 2012 en tiempo real.

La capacidad de crear consultas personalizadas resulta más útil a medida que el entorno se escala, lo que le ayuda a mantener la visibilidad en todos los servidores. Y dado que Azure Arc trata los servidores locales como recursos de Azure, estos servidores se incluyen en estas consultas de forma predeterminada, sin necesidad de sistema de inventario independiente.