Microsoft AZ-801: Azure Arc und hybrides Servermanagement — Lernleitfaden

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Teil des Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Azure Arc bringt Nicht-Azure-Server – ob vor Ort oder in anderen Clouds – unter dieselbe Steuerungsebene wie native Azure-Ressourcen. Server mit Arc-Unterstützung werden als vollwertige Azure-Ressourcen angezeigt, sodass Sie Azure Policy anwenden, Erweiterungen verwalten, Telemetriedaten mit dem Azure Monitor Agent erfassen, das Patching mit dem Update Management Center orchestrieren und mit Azure Automanage standardisieren können. Die Beherrschung von Onboarding-Mustern, Agenten- und Netzwerkanforderungen, rollenbasierter Zugriffssteuerung (RBAC) und Governance in großem Umfang ist unerlässlich, um hybride Flotten sicher und konsistent zu betreiben.

Server mit Azure Arc-Unterstützung: Onboarding, Voraussetzungen, Netzwerk, RBAC und sicherer Zugriff

Beim Onboarding wird eine Maschine mit Azure verbunden, indem der Azure Connected Machine Agent (azcmagent) installiert wird. Dieser registriert einen Server in einer ausgewählten Subscription, Ressourcengruppe und Region.

• Skriptbasiertes interaktives Onboarding ist der schnellste Weg für den Einstieg. Generieren Sie im Azure-Portal das Skript „Server hinzufügen“ und führen Sie es lokal aus. Das Skript lädt den Agenten herunter und installiert ihn. Anschließend wird der Gerätecode-Flow verwendet, um Ihren Benutzer gegenüber dem Azure Resource Manager zu authentifizieren und die ConnectedMachine-Ressource zu erstellen.
• Dienstprinzipal-basiertes Onboarding ist die empfohlene Methode für den Produktionseinsatz. Erstellen Sie eine Microsoft Entra App-Registrierung und Anmeldeinformationen mit den geringsten Rechten, denen die Rolle „Azure Connected Machine Onboarding“ für die Ziel-Ressourcengruppe zugewiesen ist. Übergeben Sie die ID und das Geheimnis des Dienstprinzipals an das Onboarding-Skript, um eine unbeaufsichtigte und skalierbare Bereitstellung über Ihre vorhandenen Tools (Configuration Manager, Group Policy, Ansible oder benutzerdefinierte Automatisierung) zu ermöglichen.
• Die skalierbare Aktivierung mit Azure Policy konzentriert sich auf die Standardisierung nach dem Onboarding. Azure Policy kann den Arc-Agenten nicht auf Nicht-Azure-Maschinen installieren. Sobald die Maschinen jedoch mit Arc verbunden sind, können Sie Richtlinien zuweisen, um erforderliche Erweiterungen (Azure Monitor Agent, Dependency Agent, Custom Script) und Gastkonfigurations-Baselines automatisch auf Tausenden von Servern bereitzustellen, inklusive Drift-Erkennung und -Behebung. Dies ist der Ansatz mit dem geringsten Aufwand, um Arc-Server in Dienste wie Microsoft Sentinel oder VM insights einzubinden, wie es in den Prüfungen getestet wird.

Zu den unterstützten Betriebssystemen gehören Windows Server 2012 R2, 2016, 2019 und 2022 sowie gängige Enterprise-Linux-Distributionen wie Ubuntu LTS (18.04+), RHEL 7–9, SLES 12/15, Oracle Linux 7/8/9, CentOS 7 und Amazon Linux 2. Überprüfen Sie vor einem großflächigen Rollout immer die genauen Versionen und Kernel-Anforderungen in der aktuellen Dokumentation.

Die Voraussetzungen für den Agenten sind einfach: TLS 1.2, ausgehender HTTPS-Verkehr (TCP 443), ausreichend Festplatten- und Arbeitsspeicher für den Agenten-Cache und die Erweiterungen, eine stabile Systemuhr und Administrator-/Root-Rechte für die Installation. Für Proxys unterstützt der Agent den System-Proxy unter Windows (WinHTTP) und einen expliziten Proxy auf beiden Plattformen. Konfigurieren Sie azcmagent für die Verwendung eines Proxys mit azcmagent config set proxy.url=https://user:pass@proxy:port oder nutzen Sie netsh winhttp set proxy unter Windows. Wenn Ihre Umgebung TLS-Inspektion verwendet, importieren Sie das vertrauenswürdige Stammzertifikat (CA) des Proxys in den Zertifikatspeicher der Maschine, damit der Agent die Azure-Endpunkte validieren kann.

Firewall- und Egress-Positivlisten müssen ausgehenden Verkehr auf Port 443 zu Microsoft Entra ID (zur Authentifizierung), zum Azure Resource Manager und zu regionalen Arc-Diensten zulassen. Wenn Sie das Update Management Center und Automanage verwenden, erlauben Sie auch den Zugriff auf Windows Update/Microsoft Update und die Repositories Ihrer Linux-Distribution sowie auf die Content-Delivery-Endpunkte, die Pakete verteilen. Arc erfordert keine eingehenden Firewall-Öffnungen; der gesamte Steuerungsverkehr geht vom Server zu Azure aus.

RBAC für Server mit Arc-Unterstützung folgt dem Azure-Modell. Verwenden Sie integrierte Rollen zur Aufgabentrennung:

• Azure Connected Machine Onboarding erlaubt das Erstellen von ConnectedMachine-Ressourcen über Dienstprinzipale, verhindert aber weitergehende Änderungsrechte.
• Azure Connected Machine Resource Administrator verwaltet die Arc-Server-Ressource und ihre Erweiterungen, ohne Berechtigungen auf Subscription-Ebene zu gewähren.
• Azure Connected Machine User Login und Azure Connected Machine Administrator Login steuern den interaktiven Zugriff, wenn die Azure AD-basierte Anmeldung über SSH (Linux) oder RDP/WinRM (Windows) aktiviert wird. Organisieren Sie Arc-Maschinen in Ressourcengruppen, die die Umgebung (Prod/NonProd), die Geografie, die Geschäftseinheit oder den Patch-Ring widerspiegeln. Weisen Sie Richtlinien, Sperren und Rollenzuweisungen auf der Ebene von Ressourcengruppen oder Verwaltungsgruppen zu, um die Governance zu vereinfachen.

Sicherer SSH-Zugriff ohne öffentliche IP-Adresse wird durch das Just-in-Time-Tunneling von Arc unterstützt. Installieren Sie die Erweiterung AADSSHLoginForLinux, um die Entra ID-basierte Authentifizierung zu aktivieren und Benutzer/Gruppen lokalen Prinzipalen zuzuordnen. Autorisierte Benutzer mit der entsprechenden Anmelderolle können az ssh arc --resource-group RG --name Server01 ausführen, um einen kurzlebigen, ausgehenden TLS-Tunnel zum SSH-Daemon des Servers aufzubauen – es ist kein eingehender Port, kein VPN und keine Bastion erforderlich. Wenden Sie Conditional Access und Privileged Identity Management an, um die Anmelderollen zeitlich zu begrenzen.

Governance und Konfiguration im großen Stil: Azure Policy-Gastkonfiguration und Automanage

Die Gastkonfiguration ist die Funktion von Azure Policy zur Überwachung und Konfiguration innerhalb des Gastbetriebssystems für Arc. Integrierte Richtlinien decken gängige Baselines ab, wie z. B. die Sicherstellung, dass der Azure Monitor Agent installiert ist, die Überprüfung von Kennwortrichtlinien, die Erzwingung des BitLocker- oder FIPS-Modus unter Windows (wo unterstützt) oder die Anforderung bestimmter Syslog-Facilities unter Linux. Weisen Sie diese Richtlinien im großen Stil Arc-Scopes zu, und die Plattform stellt bei Bedarf die Guest Configuration-Erweiterung bereit. Für benutzerdefinierte Richtlinien erstellen Sie ein DSC-basiertes Gastkonfigurationspaket, das den gewünschten Zustand beschreibt (z. B. eine gehärtete SSHD-Konfiguration oder Windows Firewall-Regeln), veröffentlichen es als benutzerdefinierte Richtliniendefinition und weisen es dann Ihrem Arc-Scope zu.

Korrekturaufgaben setzen Audits in Maßnahmen um. Richtlinien mit den Effekten DeployIfNotExists oder Modify können Konfigurationen erstellen oder ändern, und Sie können eine On-Demand-Korrektur auslösen, um bestehende Maschinen in einen konformen Zustand zu versetzen. Bei wiederkehrenden Abweichungen (Drift) aktivieren Sie die automatische Korrektur, sodass die Richtlinien-Engine den gewünschten Zustand erneut anwendet. Verfolgen Sie den Konformitätsstatus pro Richtlinie, pro Maschine und pro Scope auf dem Blade „Konformität“ (Compliance) und exportieren Sie Nachweise für Regulierungsbehörden über dieselbe Benutzeroberfläche.

Azure Automanage für Arc-fähige Server operationalisiert „Best Practices für Maschinen“. Wählen Sie ein für Dev/Test oder Produktion geeignetes Konfigurationsprofil aus, und die Plattform bindet die Maschine in eine kuratierte Auswahl von Diensten ein: Azure Monitor (über AMA und ein VM-Insights-Profil), Update Management Center mit definierten Wartungsfenstern, Change Tracking and Inventory, Aktivierung des Microsoft Defender for Cloud-Plans und zentrale Sicherheitsbaselines für das Betriebssystem. Automanage erkennt kontinuierlich Abweichungen vom gewählten Profil und korrigiert diese, wo unterstützt, während es Transparenz über alle Elemente schafft, die in Nicht-Azure-Umgebungen einen manuellen Eingriff erfordern. Da Automanage intern Azure Policy verwendet, können Sie Profile im großen Stil bereitstellen und sich auf dasselbe Konformitätsberichtsmodell verlassen.

Betrieb und Überwachung: Update Management Center, AMA und DCR sowie Arc-Erweiterungen

Das Update Management Center (UMC) ist der moderne, Agent-leichte Patching-Dienst für Azure- und Arc-Maschinen. Es bewertet kontinuierlich fehlende Sicherheits- und Nicht-Sicherheitsupdates, zeigt die Konformität nach Schweregrad und Klassifizierung an und unterstützt sowohl einmalige als auch wiederkehrende Wartungskonfigurationen. Definieren Sie Wartungsfenster mit maximaler Dauer, Neustartverhalten (Never, If required oder Always), Pre- und Post-Skripten und dynamischer Zielgruppenadressierung mithilfe von Azure-Abfragen und Tags, sodass neue Arc-Maschinen, die den Kriterien entsprechen, automatisch einbezogen werden. Für Windows bezieht UMC seine Quellen von Windows Update/Microsoft Update oder, falls konfiguriert, von WSUS; für Linux aus den konfigurierten Paket-Repositorys. Verwenden Sie Konformitätsberichte, um den prozentualen Patch-Status pro Scope zu verfolgen, Fehler mit granularen Fehlercodes anzuzeigen und Daten für Audits zu exportieren. Da UMC nicht von Azure Automation und dem veralteten MMA abhängt, ist es der strategische Weg für die Patch-Orchestrierung.

Der Azure Monitor Agent (AMA) ist die vereinheitlichte Telemetrie-Pipeline für Arc-fähige Server. Anstatt einen Workspace fest auf der Maschine zu kodieren, definieren Sie Datensammlungsregeln (Data Collection Rules, DCRs), die beschreiben:

• Was gesammelt werden soll: Windows-Ereignisprotokolle, Linux-Syslog-Facilities und -Schweregrade, Leistungsindikatoren und Signale zur Änderungsnachverfolgung (Change Tracking).
• Wohin die Daten gesendet werden sollen: ein oder mehrere Log Analytics-Workspaces, Azure Monitor Metrics und optional Event Hubs.
• Wie die Daten transformiert werden sollen: optionale Datenaufbereitung (Data Shaping) vor der Erfassung (Ingestion). Weisen Sie DCRs auf der Ebene der Ressource, Ressourcengruppe, des Abonnements oder der Verwaltungsgruppe zu. Dies entkoppelt die Konfiguration von der Maschine und macht es trivial, eine Maschine zwischen Workspaces zu verschieben oder in verschiedenen Umgebungen unterschiedliche Daten zu sammeln. VM insights für Arc verwendet jetzt AMA mit dem VM-Insights-DCR-Profil für die Leistung; für Abhängigkeitszuordnungen (Dependency Maps) und Prozesstopologien installieren Sie den Dependency Agent.

Erweiterungen sind der Bereitstellungsmechanismus für Funktionen innerhalb des Gastbetriebssystems. Verwalten Sie sie über das Blade „Erweiterungen“ (Extensions) des Arc-Servers, die CLI oder über Richtlinien:

• Microsoft Monitoring Agent (MMA) ist veraltet (legacy) und für die meisten Lösungen abgekündigt; verwenden Sie ihn nur, wenn eine Abhängigkeit noch nicht auf AMA umgestellt wurde.
• Azure Monitor Agent (AMA) ist der aktuelle Standard für Protokolle und Metriken; kombinieren Sie ihn mit DCRs.
• Dependency Agent stellt Dienst- und Prozesszuordnungen (Maps) bereit, die für die VM-Insights-Map erforderlich sind, bis deren vollständiger Ersatz abgeschlossen ist.
• Custom Script Extension (Windows/Linux) führt Skripte im großen Stil für Bootstrap- oder Korrekturmaßnahmen aus, wenn eine Korrektur über Richtlinien (Policy) die gewünschte Änderung nicht abbilden kann.
• AADSSHLoginForLinux und AADLoginForWindows ermöglichen die Anmeldung mit Entra ID. Andere gängige Erweiterungen umfassen Defender for Endpoint und Clients für das Konfigurationsmanagement. Verwenden Sie Azure Policy, um sicherzustellen, dass die erforderlichen Erweiterungen vorhanden und fehlerfrei sind. Updates, Rollbacks und der Status von Erweiterungen sind zur Überprüfung in der Ressource und im Aktivitätsprotokoll (Activity Log) sichtbar.

Inventarisierung, Compliance und Reporting mit Azure Resource Graph

Abfragen mit Azure Resource Graph (ARG) liefern nahezu in Echtzeit Bestands- und Compliance-Status für alle Arc-fähigen Server ohne Agenten. Nutzen Sie es, um die CMDB-Synchronisierung, die Tag-Hygiene und die Bereichsauswahl für Richtlinien und Patching zu steuern. Gängige Muster sind:

• Hybride Inventarisierung nach Betriebssystem und Standort:

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, resourceGroup, location, osName = properties.osName, osVersion = properties.osVersion, status = properties.status

• Sentinel/AMA-Bereitschaft:

Resources
| where type == "microsoft.hybridcompute/machines"
| extend hasAMA = todynamic(properties.extensions) has_any (x: x.name =~ "AzureMonitorWindowsAgent" or x.name =~ "AzureMonitorLinuxAgent")
| project name, hasAMA

• Tag-basiertes Reporting und Patch-Ring-Targeting:

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, patchRing = tags.PatchRing, owner = tags.Owner
| summarize count() by patchRing

• Zusammenfassung der Richtlinien-Compliance:

PolicyResources
| where type == "microsoft.policyinsights/policystates"
| summarize nonCompliant = countif(isCompliant == false) by resourceId

Diese Abfragen bilden die Grundlage für dynamische Bereiche im Update Management Center, Automanage-Zuweisungen und Dashboards. Standardisieren Sie beim Onboarding ein minimales Tag-Set (Environment, PatchRing, BusinessUnit, Owner), damit ARG handlungsrelevant bleibt.

Praktisches Problemszenario

Die Contoso Ltd. betreibt 600 lokale Windows Server- und Linux-VMs in zwei Rechenzentren, die mit Configuration Manager und Ansible verwaltet werden. Die Geschäftsführung fordert standardisiertes Monitoring, monatliches Patching mit strengen Wartungsfenstern am Samstag, Sentinel-Onboarding und sicheren SSH-Zugriff für Techniker ohne öffentliche IPs. Außerdem wünschen sie sich Compliance-Nachweise für Auditoren und einen minimalen laufenden Verwaltungsaufwand.

1. Zugriff mit den geringsten Rechten vorbereiten

• Erstellen Sie einen Dienstprinzipal, dessen Geltungsbereich auf die RGs beschränkt ist, die Arc-Maschinen enthalten werden, und weisen Sie ihm die Rolle „Azure Connected Machine Onboarding“ zu. Dies ermöglicht ein unbeaufsichtigtes Onboarding durch bestehende Tools, ohne weitreichende Rechte zu gewähren. Warum: Das auf Dienstprinzipalen basierende Onboarding ist skalierbar und erfüllt das Prinzip der geringsten Rechte (Least Privilege).

2. Maschinen mit Automatisierung onboarden

• Verwenden Sie das generierte Arc-Onboarding-Skript mit dem Dienstprinzipal im Configuration Manager für Windows und in Ansible für Linux, um den azcmagent zu installieren und jeden Server in der entsprechenden RG zu registrieren (getaggt mit Environment und PatchRing). Warum: Dies nutzt vorhandene Bereitstellungstools für einen schnellen, konsistenten Rollout wieder und integriert Tags für die nachgelagerte Governance.

3. Netzwerk- und Proxy-Egress einrichten

• Stellen Sie ausgehenden Datenverkehr auf Port 443 zu Entra ID, Azure Resource Manager, regionalen Arc-Endpunkten, Windows Update/Microsoft Update und den Distro-Repos sicher. Konfigurieren Sie die Proxy-Einstellungen des azcmagent und importieren Sie bei Bedarf die Root-CA der TLS-Inspektion. Warum: Garantiert die Integrität von Agent und Erweiterungen, das Abrufen von Updates und vermeidet Konnektivitätsabweichungen.

4. Baselines mit Azure Policy-Gastkonfiguration durchsetzen

• Weisen Sie integrierte Richtlinien zu, um die Guest Configuration-Erweiterung, den AMA und den Dependency Agent bereitzustellen. Wenden Sie ein benutzerdefiniertes Gastkonfigurationspaket an, um die SSH- und RDP-Einstellungen zu härten. Aktivieren Sie die automatische Korrektur für kritische Einstellungen. Warum: Richtlinien definieren den Soll-Zustand auf skalierbare Weise, ermöglichen die Erkennung von Abweichungen und korrigieren diese.

5. Betrieb mit Automanage standardisieren

• Weisen Sie das Profil „Automanage for Arc Production“ den Prod-RGs und das „Dev/Test“-Profil den Nicht-Produktionsumgebungen zu. Überprüfen Sie alle als manuell für Nicht-Azure-Systeme gekennzeichneten Elemente. Warum: Automanage wendet kontinuierlich Best Practices mit minimalem Aufwand für den Betreiber an.

6. Monitoring und Sentinel-Onboarding konfigurieren

• Erstellen Sie DCRs, um Windows SecurityEvents, Syslog-Auth-Facilities und Leistungsindikatoren in einem zentralen Log Analytics-Arbeitsbereich zu sammeln, der mit Microsoft Sentinel verbunden ist. Verwenden Sie Azure Policy, um die DCRs mit allen Arc-Maschinen zu verknüpfen und bei Bedarf die Sentinel Solution Packs bereitzustellen. Warum: AMA + DCR entkoppeln die Datensammlung von den Maschinen und Azure Policy bietet die in Prüfungsszenarien validierte Onboarding-Methode mit minimalem Aufwand.

7. Patching mit dem Update Management Center orchestrieren

• Definieren Sie monatlich wiederkehrende Wartungskonfigurationen pro PatchRing-Tag mit einem 4-stündigen Fenster am Samstag, Neustart bei Bedarf und Benachrichtigungs-Hooks. Verwenden Sie dynamische Bereiche auf Basis von Tags, damit neue Maschinen automatisch einbezogen werden. Warum: UMC bietet eine agentenlose, tag-gesteuerte Patch-Governance mit auditierbarem Compliance-Reporting.

8. Sicheren SSH-Zugriff ohne öffentliche IPs ermöglichen

• Stellen Sie AADSSHLoginForLinux über eine Richtlinie bereit und gewähren Sie Technikern über Privileged Identity Management die Anmeldung als „Azure Connected Machine User“ für die Ziel-RGs. Weisen Sie die Techniker an, az ssh arc mit Just-in-Time-Aktivierung zu verwenden. Warum: Arc-Tunneling macht öffentlichen Ingress oder Jump-Hosts überflüssig, und Entra ID plus PIM liefert einen zeitlich begrenzten Zugriff mit den geringsten Rechten.

9. Reporting und Auditing mit Resource Graph und Compliance

• Erstellen Sie ARG-Workbooks, um den Arc-Bestand nach Umgebung, die Abdeckung von AMA/Dependency Agent, Trends in der Richtlinien-Compliance und die UMC-Patch-Compliance nach PatchRing anzuzeigen. Exportieren Sie die Compliance-Nachweise monatlich. Warum: ARG und die Compliance-Ebenen von Policy/UMC zentralisieren Nachweise und reduzieren den Audit-Aufwand.

Durch die Kombination von dienstprinzipalbasiertem Onboarding, richtliniengesteuerter Bereitstellung von Erweiterungen und Gastkonfigurationen, Automanage-Profilen, AMA mit DCRs, UMC-Patching, Arc SSH und Resource Graph-Reporting erreicht Contoso eine sichere, konsistente und auditierbare Verwaltung hybrider Server mit minimalem manuellem Aufwand.

← Sicherheit von Active Directory Domain Services · Alle Domänen · Verschlüsselung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →

Microsoft durchsuchen →