Microsoft AZ-801: Azure Arc とハイブリッドサーバー管理 — 学習ガイド

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

こちらの一部です： Microsoft Windows Server Hybrid Administrator Associate AZ-801 — 学習ガイド. 検証済みの解答で練習： Microsoft試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

Azure Arcは、オンプレミスや他のクラウドにあるAzure以外のサーバーを、ネイティブのAzureリソースと同じコントロールプレーンの管理下に置きます。Arc対応サーバーは第一級のAzureリソースとして扱われるため、Azure Policyの適用、拡張機能の管理、Azure Monitor Agentによるテレメトリの収集、Update Management Centerによるパッチ適用、Azure Automanageによる標準化が可能です。ハイブリッド環境のサーバー群を安全かつ一貫して運用するためには、オンボーディングのパターン、エージェントとネットワークの要件、ロールベースのアクセス制御（RBAC）、そして大規模なガバナンスを習得することが不可欠です。

Azure Arc対応サーバー: オンボーディング、前提条件、ネットワーク、RBAC、セキュアなアクセス

オンボーディングとは、Azure Connected Machineエージェント（azcmagent）をインストールしてマシンをAzureに接続し、選択したサブスクリプション、リソースグループ、リージョンにサーバーを登録するプロセスです。

• スクリプトを使用した対話的なオンボーディングは、最も手早く開始できる方法です。Azureポータルから「サーバーの追加」スクリプトを生成し、ローカルで実行します。このスクリプトはエージェントをダウンロードしてインストールし、その後デバイスコードフローを使用してユーザーをAzure Resource Managerに認証させ、ConnectedMachineリソースを作成します。
• サービスプリンシパルベースのオンボーディングは、本番環境で推奨される方法です。Microsoft Entraのアプリ登録を作成し、対象のリソースグループにスコープを限定したAzure Connected Machine Onboardingロールを持つ、最小権限の資格情報を作成します。サービスプリンシパルのIDとシークレットをオンボーディングスクリプトに渡すことで、既存のツール（Configuration Manager、Group Policy、Ansible、またはカスタムオートメーション）を介した無人での大規模なデプロイが可能になります。
• Azure Policyによる大規模な有効化は、オンボーディング後の標準化に焦点を当てています。Azure PolicyはAzure以外のマシンにArcエージェントをインストールすることはできませんが、マシンがArcに接続されると、ポリシーを割り当てることで、必要な拡張機能（Azure Monitor Agent、Dependency Agent、Custom Script）やゲスト構成のベースラインを何千ものサーバーに自動的にデプロイし、構成ドリフトの検出と修復を行うことができます。これは、テストで確認されているように、Microsoft SentinelやVM insightsなどのサービスにArcサーバーをオンボーディングするための、最小限の労力で済むアプローチです。

サポートされているオペレーティングシステムには、Windows Server 2012 R2、2016、2019、2022、およびUbuntu LTS (18.04+)、RHEL 7–9、SLES 12/15、Oracle Linux 7/8/9、CentOS 7、Amazon Linux 2などの一般的なエンタープライズLinuxディストリビューションが含まれます。大規模な展開を行う前には、必ず最新のドキュメントで正確なバージョンとカーネル要件を確認してください。

エージェントの前提条件は単純です。TLS 1.2、アウトバウンドHTTPS（TCP 443）、エージェントのキャッシュと拡張機能のための十分なディスクとメモリ、安定したマシンクロック、そしてインストールするための管理者/root権限が必要です。プロキシについては、エージェントはWindowsのシステムプロキシ（WinHTTP）と、両プラットフォームでの明示的なプロキシをサポートしています。プロキシを使用するには、azcmagent config set proxy.url=https://user:pass@proxy:portでazcmagentを設定するか、Windowsではnetsh winhttp set proxyを利用します。お使いの環境でTLSインスペクションを使用している場合は、エージェントがAzureのエンドポイントを検証できるように、プロキシの信頼されたルートCAをマシンのストアにインポートしてください。

ファイアウォールと送信の許可リストでは、Microsoft Entra ID（認証用）、Azure Resource Manager、およびリージョンごとのArcサービスへのアウトバウンド443を許可する必要があります。Update Management CenterやAutomanageを使用する場合は、Windows Update/Microsoft Update、お使いのLinuxディストリビューションのリポジトリ、さらにパッケージを配布するコンテンツ配信エンドポイントも許可してください。Arcはインバウンドのファイアウォールポートを開ける必要はありません。すべての制御トラフィックはサーバーからAzureへの発信です。

Arc対応サーバーのRBACは、Azureのモデルに従います。組み込みロールを使用して職務を分離します。

• Azure Connected Machine Onboardingは、サービスプリンシパルを介したConnectedMachineリソースの作成を許可しますが、より広範な変更権限は与えません。
• Azure Connected Machine Resource Administratorは、サブスクリプション全体の権限を与えることなく、Arcサーバーリソースとその拡張機能を管理します。
• Azure Connected Machine User LoginとAzure Connected Machine Administrator Loginは、SSH（Linux）またはRDP/WinRM（Windows）経由でのAzure ADベースのログインを有効にする際の対話型アクセスを制御します。 Arcマシンを、環境（本番/非本番）、地理、ビジネスユニット、またはパッチリングを反映したリソースグループに整理します。ガバナンスを簡素化するために、ポリシー、ロック、ロールの割り当てをリソースグループまたは管理グループのレベルでスコープ設定します。

パブリックIPなしでのセキュアなSSHアクセスは、Arcのジャストインタイムトンネリングを通じてサポートされています。AADSSHLoginForLinux拡張機能をインストールして、Entra IDベースの認証を有効にし、ユーザー/グループをローカルプリンシパルにマッピングします。適切なログインロールを持つ承認されたユーザーは、az ssh arc --resource-group RG --name Server01を実行して、サーバーのSSHデーモンへの一時的なアウトバウンドTLSトンネルを確立できます。インバウンドポート、VPN、Bastionは不要です。条件付きアクセスとPrivileged Identity Managementを適用して、ログインロールに時間制限を設けます。

Azure Resource Graph を使用したインベントリ、コンプライアンス、およびレポート

Azure Resource Graph (ARG) クエリは、すべての Arc 対応サーバーにわたるインベントリとコンプライアンスの状態を、エージェントなしでほぼリアルタイムに返します。これを使用して、CMDB の同期、タグの整理、ポリシーやパッチ適用のためのスコープ選択を推進します。一般的なパターンは次のとおりです。

• OS と場所別のハイブリッド インベントリ:

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, resourceGroup, location, osName = properties.osName, osVersion = properties.osVersion, status = properties.status

• Sentinel/AMA の準備状況:

Resources
| where type == "microsoft.hybridcompute/machines"
| extend hasAMA = todynamic(properties.extensions) has_any (x: x.name =~ "AzureMonitorWindowsAgent" or x.name =~ "AzureMonitorLinuxAgent")
| project name, hasAMA

• タグベースのレポートとパッチリングのターゲティング:

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, patchRing = tags.PatchRing, owner = tags.Owner
| summarize count() by patchRing

• ポリシーコンプライアンスのロールアップ:

PolicyResources
| where type == "microsoft.policyinsights/policystates"
| summarize nonCompliant = countif(isCompliant == false) by resourceId

これらのクエリは、Update Management Center、Automanage の割り当て、およびダッシュボードにおける動的スコープの基盤となります。オンボーディング時に最小限のタグセット (Environment, PatchRing, BusinessUnit, Owner) を標準化することで、ARG を実用的な状態に保ちます。

実践的な問題シナリオ

Contoso Ltd. は、2 つのデータセンターでホストされている 600 台のオンプレミスの Windows Server および Linux VM を、Configuration Manager と Ansible で管理しています。経営陣は、標準化された監視、厳格な土曜日のメンテナンスウィンドウでの月次パッチ適用、Sentinel へのオンボーディング、およびパブリック IP を公開しないエンジニア向けの安全な SSH アクセスを要求しています。また、監査人向けのコンプライアンス証跡と、継続的な管理作業の最小化も望んでいます。

1. 最小権限アクセスを準備する

• Arc マシンを含む RG にスコープを限定したサービスプリンシパルを作成し、「Azure Connected Machine Onboarding」ロールを割り当てます。これにより、広範な権限を付与することなく、既存のツールを介した無人オンボーディングが可能になります。 理由: サービスプリンシパルベースのオンボーディングはスケーラビリティがあり、最小権限の原則を満たします。

2. 自動化を使用してマシンをオンボーディングする

• Windows には Configuration Manager、Linux には Ansible で、サービスプリンシパルと共に生成された Arc オンボーディングスクリプトを使用し、azcmagent をインストールして各サーバーを適切な RG (Environment と PatchRing でタグ付け) に登録します。 理由: 既存のデプロイツールを再利用して迅速で一貫性のある展開を実現し、下流のガバナンスのためにタグを埋め込みます。

3. ネットワークとプロキシの送信を確立する

• Entra ID、Azure Resource Manager、Arc のリージョンエンドポイント、Windows Update/Microsoft Update、およびディストリビューションリポジトリへのアウトバウンド 443 を確保します。azcmagent のプロキシ設定を構成し、必要に応じて TLS インスペクションのルート CA をインポートします。 理由: エージェントと拡張機能の正常性、更新プログラムの取得を保証し、接続性のドリフトを回避します。

4. Azure Policy のゲスト構成でベースラインを適用する

• 組み込みポリシーを割り当てて、Guest Configuration 拡張機能、AMA、および Dependency Agent をデプロイします。カスタムのゲスト構成パッケージを適用して、SSH と RDP の設定を強化します。重要な設定については自動修復を有効にします。 理由: Policy は、あるべき状態を大規模に表現し、ドリフトを検出し、逸脱を修復する機能を提供します。

5. Automanage で運用を標準化する

• 本番環境の RG には Automanage for Arc の Production プロファイル、非本番環境には Dev/Test プロファイルを割り当てます。非 Azure 環境で手動とフラグ付けされた項目を確認します。 理由: Automanage は、オペレーターの作業を最小限に抑えながら、ベストプラクティスを継続的に適用します。

6. 監視と Sentinel のオンボーディングを構成する

• DCR を作成し、Windows の SecurityEvent、Syslog の認証ファシリティ、パフォーマンスカウンターを、Microsoft Sentinel に接続された中央の Log Analytics ワークスペースに収集します。Azure Policy を使用して、すべての Arc マシンに DCR を関連付け、必要に応じて Sentinel ソリューションパックをデプロイします。 理由: AMA + DCR は収集をマシンから分離し、Azure Policy は試験シナリオで検証済みの、最小限の労力で済むオンボーディング方法を提供します。

7. Update Management Center でパッチ適用をオーケストレーションする

• PatchRing タグごとに、4 時間の土曜日のウィンドウ、必要に応じた再起動、通知フックを含む月次定期メンテナンス構成を定義します。タグに基づいた動的スコープを使用することで、新しいマシンが自動的に含まれるようにします。 理由: UMC は、エージェントライトでタグ駆動のパッチガバナンスと、監査可能なコンプライアンスレポートを提供します。

8. パブリック IP なしで安全な SSH を有効にする

• Policy を介して AADSSHLoginForLinux をデプロイし、Privileged Identity Management を通じて対象の RG に対する「Azure Connected Machine User Login」権限をエンジニアに付与します。エンジニアには、ジャストインタイムアクティベーションで az ssh arc を使用するよう指示します。 理由: Arc トンネリングはパブリックなイングレスやジャンプホストの必要性をなくし、Entra ID と PIM は最小権限で期限付きのアクセスを提供します。

9. Resource Graph とコンプライアンスでレポートと監査を行う

• ARG ブックを構築して、環境別の Arc インベントリ、AMA/Dependency Agent のカバレッジ、ポリシーコンプライアンスの傾向、および PatchRing ごとの UMC パッチコンプライアンスを表示します。コンプライアンス証跡を毎月エクスポートします。 理由: ARG と Policy/UMC のコンプライアンスプレーンは、証跡を一元化し、監査のオーバーヘッドを削減します。

サービスプリンシパルベースのオンボーディング、Policy 駆動の拡張機能とゲスト構成のデプロイ、Automanage プロファイル、DCR を使用した AMA、UMC によるパッチ適用、Arc SSH、および Resource Graph によるレポートを組み合わせることで、Contoso は、最小限の手作業で、安全で一貫性があり、監査可能なハイブリッドサーバー管理を実現します。

← Active Directory ドメインサービスのセキュリティ · すべてのドメイン · 暗号化、証明書、PKI →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Microsoftを閲覧 →