Windows Server et Azure

1. Cas d’usage

Si l’on utilise une architecture sur site couplée avec des services cloud, on parle alors d’architecture hybride. Microsoft a développé au fil du temps beaucoup d’outils pour mettre en œuvre et gérer ces architectures hybrides. Évidemment, cela nécessite des connexions sécurisées entre l’entreprise et le cloud et, là aussi, les outils à disposition sont variés.

Une architecture hybride permet en premier lieu d’étendre son infrastructure dans le cloud et cela apporte de nombreuses possibilités parmi lesquelles nous pourrions citer :

2. Moyens de connexion

Pour faire communiquer de manière sécurisée le réseau physique de l’entreprise avec les réseaux virtuels Azure, appelés des VNet, sur lesquels sont déployées les ressources cloud, nous avons le choix entre plusieurs outils :

1. Concepts de base

La synchronisation d’annuaire entre un Active Directory local et Entra ID, l’annuaire des services cloud de Microsoft, se fait à l’aide d’une application qu’il faut télécharger et installer sur un serveur membre du domaine.

Lors de la première synchronisation, toute la forêt Active Directory va être synchronisée. Il sera ensuite possible de choisir les unités d’organisation de la forêt locale que l’on veut synchroniser.

Non seulement l’application Entra ID Connect va assurer la synchronisation des objets de l’Active Directory local, mais elle intervient aussi dans le traitement de l’authentification lors des connexions aux services cloud de Microsoft 365.

Il existe plusieurs types de synchronisation, qui se configurent dans l’application Entra ID Connect :

1. Concepts de base

Azure Arc est une technologie qui permet de relier les machines sur site dans la console de gestion Azure, et d’utiliser certaines fonctionnalités d’Azure avec nos machines sur site. Azure Arc est compatible avec les machines Windows Server et Linux, ainsi que des environnements VMware vSphere. Azure Arc peut s’installer dans des machines physiques et virtuelles. Azure Arc peut aussi s’installer dans les machines virtuelles créées chez d’autres fournisseurs de services cloud.

Cela fonctionne avec l’installation d’un agent dans les machines qui va faire la liaison avec Azure. Cet agent peut être déployé à l’aide de scripts PowerShell qui sont fournis par Microsoft dans la page d’Azure dédiée à Azure Arc ou via un installeur MSI disponible sur le centre de téléchargement Microsoft.

L’agent peut aussi être déployé avec des solutions DevOps comme Terraform ou Ansible. 

Une fois l’agent installé, un objet de type machine hybride va être créé dans Azure pour les machines sur site et un objet correspondant va être créé dans Entra ID.

Les possibilités offertes par Azure Arc sont de différentes catégories :

2. Fonctionnement de l’agent

1. Azure Monitor

Azure Monitor est le service de surveillance des ressources inclus dans Azure, qui permet d’obtenir et de stocker des journaux d’évènements et des conteurs de performances depuis l’intérieur des ressources Azure.

Azure Monitor fonctionne avec un agent, qui peut fonctionner soit dans des machines virtuelles Azure, soit dans des machines avec Azure Arc. Dans le cas de machine Azure Arc, il fonctionne et s’installe comme une extension de l’agent Azure Arc.

Les données collectées par Azure monitor peuvent être envoyées à plusieurs endroits dans Azure, mais seront envoyées dans un espace appelé « espace de travail log analytics ».

Des règles doivent être créées pour décider du type de données que l’on veut collecter et de l’endroit où elles doivent être envoyées.

Les moyens de visualiser les données collectées sont nombreux : on peut créer des alertes, des tableaux de bord, utiliser Grafana, le service Logs Analytics d’Azure, entre autres !

a. Installer l’extension Azure Monitor

Pour pouvoir utiliser les services d’Azure Monitor dans une machine Azure Arc, nous devons lui ajouter l’extension correspondante.

 Tapez le nom de la machine dans la recherche Azure et cliquez dessus.

 Dans les réglages de la machine, allez dans Extensions et cliquez sur Add.

 Sélectionnez l’agent Azure monitor et cliquez sur Next.

 Dans la dernière page, vous avez une option en cas d’utilisation d’un proxy, cliquez sur Review + create.

 Dans la dernière page, cliquez sur Create ; le déploiement commence.

b. Mettre en route les insights

 Dans la page de la machine, allez dans Monitoring, puis dans Insights. Dans la page du milieu, cliquez sur Enable.

 Dans la page suivante, sélectionnez l’abonnement. Un espace de travail logs Analytics par défaut va être créé. La configuration peut prendre 10 minutes.

 Allez dans les notifications pour voir l’avancée du déploiement.

Vous pouvez retourner dans les insights de la machine et dans l’onglet Performance, les données commencent déjà à arriver....

1. Installation de WAC

Windows Server est une application que l’on va installer sur une machine, qui servira de portail, et l’on y connectera les autres machines du parc. Il n’y a pas besoin d’installer d’agent, et les communications entre les machines du parc et le portail se font en https.

Il est possible d’installer WAC sur plusieurs serveurs et de faire un cluster de basculement ou encore de la répartition de charge réseau. Un des types de déploiement le plus courant est d’installer WAC sur une machine qui sera elle-même gérée depuis WAC.

Pour installer WAC, il faut commencer par télécharger l’installeur chez Microsoft, en nous rendant à cette adresse : https://www.microsoft.com/en-us/windows-server/windows-admin-center

1. Concepts de base

Lorsqu’une entreprise possède un ou plusieurs contrôleurs de domaines dans son infrastructure locale, il peut être utile d’en déployer un supplémentaire dans Azure.

Le premier cas d’usage qui vient tout de suite à l’esprit est le basculement. Si le ou les contrôleurs de domaines sur site sont injoignables, par exemple si le réseau interne est en panne ou l’armoire qui contient les serveurs à une panne de courant électrique, alors les clients pourront toujours s’authentifier avec le contrôleur de domaine déployé dans Azure. Bien évidemment, cela implique une connectivité réseau, comme un VPN site à site ou des solutions Azure comme Express Route.

L’autre grand cas d’usage d’un Active Directory dans le cloud est pour authentifier des ressources qui sont elles aussi dans Azure. Comme des bases de données, d’autres serveurs ou des applications. Dans ce cas, le contrôleur de domaine dans Azure pourra être autonome ou faire partie de la forêt sur site, au choix.

De plus, cela peut permettre de tirer avantage de certaines fonctionnalités d’Azure, comme l’accès conditionnel.

2. Considérations pratiques

1. Introduction

Azure File sync est une fonctionnalité d’Azure qui permet de synchroniser les données entre un dossier partagé dans Azure et un dossier dans un serveur Windows sur site. Azure File Sync dispose de plusieurs fonctionnalités qui en font une extension intéressante pour un serveur de fichiers sur site.

Azure File Sync est prévu pour fonctionner avec des données non structurées, c’est-à-dire fichiers comme des fichiers Word, PDF, Excel, VHDX, etc.

Pour mettre en œuvre Azure File Sync, il faut posséder un compte de stockage Azure, avec au moins un partage Azure File dedans. Le service de synchronisation Azure File Sync est un service à part du partage. Il faudra aussi un groupe de synchronisation qui est encore un Objet à part dans Azure. Le dossier partagé Azure, le groupe de réplication et le service Azure File Sync doivent être dans la même région et le même abonnement Azure.

Il sera nécessaire de déployer un agent dans le serveur de fichier sur site. Les volumes utilisés dans le serveur sur site peuvent être formatés en NTFS ou ReFS.

S’il est possible de synchroniser plusieurs dossiers repartis sur plusieurs serveurs sur site avec un seul service Azure File Sync, à l’inverse un serveur ne peut se synchroniser qu’avec un seul service Azure File Sync.