Microsoft AZ-801: Azure Arc e Gerenciamento de Servidores Híbridos — Guia de estudos

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Faz parte do Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O Azure Arc traz servidores que não são do Azure — locais (on-premises) ou em outras nuvens — para o mesmo plano de controle que os recursos nativos do Azure. Servidores habilitados para o Arc (Arc-enabled) aparecem como recursos de primeira classe do Azure, permitindo que você aplique o Azure Policy, gerencie extensões, colete telemetria com o Azure Monitor Agent, orquestre a aplicação de patches com o Update Management Center e padronize com o Azure Automanage. O domínio dos padrões de onboarding, dos requisitos de agente e de rede, do controle de acesso baseado em função (RBAC) e da governança em escala é essencial para operar frotas híbridas de forma segura e consistente.

Servidores habilitados para o Azure Arc: onboarding, pré-requisitos, rede, RBAC e acesso seguro

O onboarding conecta uma máquina ao Azure instalando o agente Azure Connected Machine (azcmagent), que registra um servidor em uma assinatura, grupo de recursos e região escolhidos.

• O onboarding interativo por script é a maneira mais rápida de começar. A partir do portal do Azure, gere o script “Adicionar servidores” e execute-o localmente. O script baixa e instala o agente, depois usa o fluxo de código do dispositivo (device code flow) para autenticar seu usuário no Azure Resource Manager e criar o recurso ConnectedMachine.
• O onboarding baseado em service principal é o método de produção recomendado. Crie um registro de aplicativo (app registration) no Microsoft Entra e uma credencial de privilégio mínimo com a função Azure Connected Machine Onboarding no escopo do grupo de recursos de destino. Passe o ID e o segredo do service principal para o script de onboarding para permitir a implantação automatizada (unattended) e em escala por meio de suas ferramentas existentes (Configuration Manager, Group Policy, Ansible ou automação personalizada).
• A habilitação em escala com o Azure Policy foca na padronização pós-onboarding. O Azure Policy não pode instalar o agente do Arc em máquinas que não são do Azure, mas uma vez que as máquinas estão conectadas ao Arc, atribua políticas para implantar automaticamente as extensões necessárias (Azure Monitor Agent, Dependency Agent, Custom Script) e as linhas de base de configuração de convidado (guest configuration baselines) para milhares de servidores, com detecção e remediação de desvios (drift). Esta é a abordagem de esforço mínimo para integrar servidores Arc a serviços como o Microsoft Sentinel ou o VM insights, conforme testado.

Os sistemas operacionais suportados incluem Windows Server 2012 R2, 2016, 2019 e 2022, e distribuições Linux empresariais comuns como Ubuntu LTS (18.04+), RHEL 7–9, SLES 12/15, Oracle Linux 7/8/9, CentOS 7 e Amazon Linux 2. Sempre verifique as versões precisas e os requisitos de kernel na documentação atual antes de uma implementação em larga escala.

Os pré-requisitos do agente são diretos: TLS 1.2, HTTPS de saída (TCP 443), disco e memória suficientes para o cache do agente e extensões, um relógio de máquina estável e privilégios de administrador/root para a instalação. Para proxies, o agente suporta o proxy do sistema no Windows (WinHTTP) e um proxy explícito em ambas as plataformas. Configure o azcmagent para usar um proxy com azcmagent config set proxy.url=https://user:pass@proxy:port ou utilize netsh winhttp set proxy no Windows. Se o seu ambiente usa inspeção TLS, importe a CA raiz confiável do proxy para o repositório da máquina para que o agente possa validar os endpoints do Azure.

As listas de permissões (allowlists) de firewall e de saída (egress) devem permitir tráfego de saída na porta 443 para o Microsoft Entra ID (para autenticação), Azure Resource Manager e serviços regionais do Arc. Se você for usar o Update Management Center e o Automanage, permita também o acesso ao Windows Update/Microsoft Update e aos repositórios da sua distribuição Linux, além dos endpoints de entrega de conteúdo (content delivery endpoints) que distribuem pacotes. O Arc não exige aberturas de firewall de entrada (inbound); todo o tráfego de controle se origina do servidor para o Azure.

O RBAC para servidores habilitados para o Arc segue o modelo do Azure. Use as funções integradas (built-in roles) para separar as responsabilidades:

• Azure Connected Machine Onboarding permite a criação de recursos ConnectedMachine por meio de service principals, ao mesmo tempo que impede direitos de modificação mais amplos.
• Azure Connected Machine Resource Administrator gerencia o recurso do servidor Arc e suas extensões sem conceder permissões em nível de assinatura.
• Azure Connected Machine User Login e Azure Connected Machine Administrator Login controlam o acesso interativo ao habilitar o login baseado no Azure AD por SSH (Linux) ou RDP/WinRM (Windows). Organize as máquinas Arc em grupos de recursos que reflitam o ambiente (Prod/Não-Prod), a geografia, a unidade de negócios ou o anel de patch (patch ring). Defina o escopo de políticas, bloqueios (locks) e atribuições de função no nível do grupo de recursos ou do grupo de gerenciamento para simplificar a governança.

O acesso seguro via SSH sem um IP público é suportado por meio do tunelamento just-in-time do Arc. Instale a extensão AADSSHLoginForLinux para habilitar a autenticação baseada no Entra ID e mapear usuários/grupos para entidades de segurança locais (local principals). Usuários autorizados com a função de login apropriada podem executar az ssh arc –resource-group RG –name Server01 para estabelecer um túnel TLS efêmero de saída para o daemon SSH do servidor — sem necessidade de porta de entrada, VPN ou bastion. Aplique o Conditional Access e o Privileged Identity Management para limitar o tempo de validade (time-bound) das funções de login.

Governança e configuração em escala: configuração de convidado do Azure Policy e Automanage

A configuração de convidado (guest configuration) é a capacidade de auditoria e configuração do Azure Policy dentro do sistema operacional convidado para o Arc. As políticas internas (built-in) cobrem linhas de base comuns, como garantir que o Azure Monitor Agent esteja instalado, auditar políticas de senha, impor o modo BitLocker ou FIPS no Windows onde for compatível, ou exigir instalações específicas do syslog no Linux. Atribua essas políticas em escala a escopos do Arc, e a plataforma implantará a extensão Guest Configuration conforme necessário. Para políticas personalizadas, crie um pacote de configuração de convidado baseado em DSC que expresse o estado desejado (por exemplo, uma configuração reforçada do SSHD ou regras do Windows Firewall), publique-o como uma definição de política personalizada e, em seguida, atribua-o ao seu escopo do Arc.

As tarefas de remediação transformam auditorias em ação. Políticas com efeitos DeployIfNotExists ou Modify podem criar ou alterar configurações, e você pode acionar a remediação sob demanda (On-demand) para adequar as máquinas existentes à conformidade. Para desvios recorrentes (drift), habilite a remediação automática para que o mecanismo de política reaplique o estado desejado. Acompanhe a postura de conformidade por política, por máquina e por escopo na folha (blade) de Conformidade e exporte evidências para órgãos reguladores a partir da mesma interface do usuário.

O Azure Automanage para servidores habilitados para o Arc operacionaliza as “melhores práticas para máquinas”. Selecione um perfil de configuração apropriado para Dev/Test ou Produção e a plataforma integra a máquina a um conjunto selecionado de serviços: Azure Monitor (via AMA e um perfil do VM insights), Update Management Center com janelas de manutenção definidas, Change Tracking and Inventory, habilitação do plano Microsoft Defender for Cloud e linhas de base de segurança do sistema operacional principal. O Automanage detecta continuamente desvios do perfil escolhido e remedia onde for compatível, ao mesmo tempo que fornece visibilidade de quaisquer itens que exijam intervenção manual em ambientes não Azure. Como o Automanage usa o Azure Policy nos bastidores, você pode implantar perfis em escala e contar com o mesmo modelo de relatórios de conformidade.

Operações e monitoramento: Update Management Center, AMA e DCR, e extensões do Arc

O Update Management Center (UMC) é o serviço moderno e com agente leve (agent-light) para aplicação de patches em máquinas Azure e Arc. Ele avalia continuamente as atualizações de segurança e não segurança ausentes, expõe a conformidade por severidade e classificação, e suporta configurações de manutenção tanto pontuais quanto recorrentes. Defina janelas de manutenção com duração máxima, comportamento de reinicialização (Nunca, Se necessário ou Sempre), scripts de pré e pós-execução, e direcionamento dinâmico usando consultas e tags do Azure para que novas máquinas Arc que correspondam aos critérios sejam incluídas automaticamente. Para Windows, o UMC obtém as atualizações do Windows Update/Microsoft Update ou do WSUS, se configurado; para Linux, dos repositórios de pacotes configurados. Use os relatórios de conformidade para acompanhar a porcentagem de patches aplicados por escopo, visualizar falhas com códigos de erro granulares e exportar dados para auditoria. Como o UMC não depende do Azure Automation e do MMA legado, ele é o caminho estratégico a ser seguido para a orquestração de patches.

O Azure Monitor Agent (AMA) é o pipeline de telemetria unificado para servidores habilitados para o Arc. Em vez de codificar um workspace diretamente na máquina, você define Regras de Coleta de Dados (Data Collection Rules - DCRs) que descrevem:

• O que coletar: logs de eventos do Windows, instalações e severidades do syslog do Linux, contadores de desempenho e sinais de controle de alterações.
• Para onde enviar: um ou mais workspaces do Log Analytics, Azure Monitor Metrics e, opcionalmente, Event Hubs.
• Como transformar: modelagem de dados opcional antes da ingestão. Associe as DCRs no escopo do recurso, grupo de recursos, assinatura ou grupo de gerenciamento. Isso desacopla a configuração da máquina e torna trivial mover uma máquina entre workspaces ou coletar dados diferentes em ambientes distintos. O VM insights no Arc agora usa o AMA com o perfil de DCR do VM insights para desempenho; para mapas de dependência e topologia de processos, instale o Dependency Agent.

As extensões são o mecanismo de entrega para capacidades dentro do sistema operacional convidado. Gerencie-as a partir da folha (blade) de Extensões do servidor Arc, da CLI ou do Policy:

• Microsoft Monitoring Agent (MMA) é legado e foi descontinuado para a maioria das soluções; use-o apenas se uma dependência ainda não tiver migrado para o AMA.
• Azure Monitor Agent (AMA) é o padrão atual para logs e métricas; utilize-o em conjunto com as DCRs.
• Dependency Agent fornece mapas de serviços e processos, sendo necessário para o mapa do VM insights até que sua substituição completa seja concluída.
• Custom Script Extension (Windows/Linux) executa scripts em escala para ações de inicialização (bootstrap) ou corretivas quando a remediação do Policy não consegue expressar a alteração desejada.
• AADSSHLoginForLinux e AADLoginForWindows habilitam o login com o Entra ID. Outras extensões comuns incluem o Defender for Endpoint e clientes de gerenciamento de configuração. Use o Azure Policy para garantir que as extensões necessárias estejam presentes e íntegras. Atualizações, reversões (rollbacks) e o status das extensões são visíveis no recurso e no Log de Atividades para fins de auditoria.

Inventário, conformidade e relatórios com o Azure Resource Graph

As consultas do Azure Resource Graph (ARG) retornam o estado de inventário e conformidade quase em tempo real de todos os servidores habilitados para o Arc, sem a necessidade de agentes. Use-o para impulsionar a sincronização de CMDB, a organização de tags e a seleção de escopo para políticas e aplicação de patches. Padrões comuns incluem:

• Inventário híbrido por SO e localização:

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, resourceGroup, location, osName = properties.osName, osVersion = properties.osVersion, status = properties.status

• Prontidão para o Sentinel/AMA:

Resources
| where type == "microsoft.hybridcompute/machines"
| extend hasAMA = todynamic(properties.extensions) has_any (x: x.name =~ "AzureMonitorWindowsAgent" or x.name =~ "AzureMonitorLinuxAgent")
| project name, hasAMA

• Relatórios baseados em tags e direcionamento de anéis de patch:

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, patchRing = tags.PatchRing, owner = tags.Owner
| summarize count() by patchRing

• Agregação de conformidade de políticas:

PolicyResources
| where type == "microsoft.policyinsights/policystates"
| summarize nonCompliant = countif(isCompliant == false) by resourceId

Essas consultas são a base para escopos dinâmicos no Update Management Center, atribuições do Automanage e dashboards. Padronize um conjunto mínimo de tags (Environment, PatchRing, BusinessUnit, Owner) durante o onboarding para que o ARG permaneça acionável.

Cenário de Problema Prático

A Contoso Ltd. possui 600 VMs on-premises Windows Server e Linux hospedadas em dois datacenters, gerenciadas pelo Configuration Manager e pelo Ansible. A liderança exige monitoramento padronizado, aplicação de patches mensal com janelas de manutenção estritas aos sábados, onboarding no Sentinel e acesso SSH seguro para engenheiros sem expor IPs públicos. Eles também querem evidências de conformidade para auditores e um esforço administrativo contínuo mínimo.

1. Preparar o acesso de privilégio mínimo

• Crie um service principal com escopo nos RGs que conterão as máquinas Arc e atribua a função Azure Connected Machine Onboarding. Isso permite o onboarding automatizado por meio de ferramentas existentes sem conceder direitos amplos. Por quê: O onboarding baseado em service principal é escalável e atende ao princípio de privilégio mínimo.

2. Fazer o onboarding das máquinas com automação

• Use o script de onboarding do Arc gerado com o service principal no Configuration Manager para Windows e no Ansible para Linux para instalar o azcmagent e registrar cada servidor no RG apropriado (com as tags Environment e PatchRing). Por quê: Reutiliza as ferramentas de implantação existentes para uma implementação rápida e consistente e incorpora tags para governança futura.

3. Estabelecer a saída de rede e proxy

• Garanta a saída na porta 443 para o Entra ID, Azure Resource Manager, endpoints regionais do Arc, Windows Update/Microsoft Update e repositórios das distribuições. Configure as definições de proxy do azcmagent e importe a CA raiz de inspeção TLS quando necessário. Por quê: Garante a saúde do agente e das extensões, a obtenção de atualizações e evita desvios de conectividade.

4. Aplicar baselines com a configuração de convidado do Azure Policy

• Atribua políticas internas (built-in) para implantar a extensão Guest Configuration, o AMA e o Dependency Agent. Aplique um pacote de configuração de convidado personalizado para fortalecer as configurações de SSH e RDP. Habilite a remediação automática para configurações críticas. Por quê: A política expressa o estado desejado em escala, fornece detecção de desvios (drift) e corrige divergências.

5. Padronizar operações com o Automanage

• Atribua o perfil Automanage for Arc Production aos RGs de produção e o perfil Dev/Test aos de não produção. Revise quaisquer itens sinalizados como manuais para ambientes não Azure. Por quê: O Automanage aplica continuamente as melhores práticas com o mínimo de esforço do operador.

6. Configurar o monitoramento e o onboarding no Sentinel

• Crie DCRs para coletar SecurityEvents do Windows, facilities de autenticação do Syslog e contadores de desempenho para um workspace central do Log Analytics conectado ao Microsoft Sentinel. Use o Azure Policy para associar as DCRs a todas as máquinas Arc e para implantar os pacotes de solução do Sentinel conforme necessário. Por quê: A combinação AMA + DCR desacopla a coleta das máquinas, e o Azure Policy fornece o método de onboarding de mínimo esforço validado em cenários de exame.

7. Orquestrar a aplicação de patches com o Update Management Center

• Defina configurações de manutenção recorrentes mensais por tag PatchRing com uma janela de 4 horas no sábado, reinicialização se necessário e ganchos de notificação. Use escopos dinâmicos baseados em tags para que novas máquinas sejam incluídas automaticamente. Por quê: O UMC oferece governança de patches leve (agent-light), orientada por tags, com relatórios de conformidade auditáveis.

8. Habilitar SSH seguro sem IPs públicos

• Implante o AADSSHLoginForLinux via Policy e conceda aos engenheiros a permissão Azure Connected Machine User Login nos RGs de destino por meio do Privileged Identity Management. Instrua os engenheiros a usar o az ssh arc com ativação just-in-time. Por quê: O tunelamento do Arc elimina a necessidade de ingresso público ou jump hosts, e a combinação do Entra ID com o PIM oferece acesso de privilégio mínimo e com tempo limitado.

9. Gerar relatórios e auditar com o Resource Graph e Compliance

• Crie workbooks do ARG para mostrar o inventário do Arc por ambiente, a cobertura do AMA/Dependency Agent, as tendências de conformidade de políticas e a conformidade de patches do UMC por PatchRing. Exporte as evidências de conformidade mensalmente. Por quê: O ARG e os planos de conformidade do Policy/UMC centralizam as evidências e reduzem a sobrecarga de auditoria.

Ao combinar o onboarding baseado em service principal, a implantação de extensões e configuração de convidado orientada por Policy, perfis do Automanage, AMA com DCRs, aplicação de patches com o UMC, Arc SSH e relatórios do Resource Graph, a Contoso alcança um gerenciamento de servidores híbridos seguro, consistente e auditável com o mínimo de intervenção manual.

← Segurança do Active Directory Domain Services · Todos os domínios · Criptografia →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →

Navegar Microsoft →