Microsoft AZ-801: Azure Arc en Hybride Serverbeheer — Studiegids

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Azure Arc brengt servers die niet in Azure draaien—on-premises of in andere clouds—onder hetzelfde beheerplatform als native Azure-resources. Servers die met Arc zijn verbonden, verschijnen als volwaardige Azure-resources, zodat u Azure Policy kunt toepassen, extensies kunt beheren, telemetrie kunt verzamelen met Azure Monitor Agent, patching kunt orkestreren met Update Management Center en kunt standaardiseren met Azure Automanage. Het beheersen van onboarding-patronen, agent- en netwerkvereisten, op rollen gebaseerd toegangsbeheer (RBAC) en grootschalig beheer is essentieel om hybride machineparken veilig en consistent te beheren.

Azure Arc-enabled servers: onboarding, vereisten, netwerken, RBAC en veilige toegang

Onboarding verbindt een machine met Azure door de Azure Connected Machine agent (azcmagent) te installeren. Deze agent registreert een server in een gekozen abonnement, resourcegroep en regio.

• Interactieve onboarding via een script is de snelste manier om te beginnen. Genereer vanuit de Azure-portal het ‘Add servers’-script en voer het lokaal uit. Het script downloadt en installeert de agent, en gebruikt vervolgens de ‘device code flow’ om uw gebruiker te authenticeren bij Azure Resource Manager en de ConnectedMachine-resource aan te maken.
• Onboarding op basis van een service principal is de aanbevolen methode voor productieomgevingen. Maak een Microsoft Entra app-registratie en een credential aan met minimale rechten (’least privilege’), met de rol ‘Azure Connected Machine Onboarding’ gescoped op de doelresourcegroep. Geef de service principal ID en het secret mee aan het onboarding-script om onbeheerde en grootschalige implementatie mogelijk te maken via uw bestaande tools (Configuration Manager, Group Policy, Ansible of aangepaste automatisering).
• Grootschalige activering met Azure Policy richt zich op standaardisatie na de onboarding. Azure Policy kan de Arc-agent niet installeren op machines buiten Azure. Maar zodra machines met Arc zijn verbonden, kunt u beleidsregels toewijzen om automatisch vereiste extensies (Azure Monitor Agent, Dependency Agent, Custom Script) en ‘guest configuration’-baselines te implementeren op duizenden servers, inclusief detectie en herstel van afwijkingen (‘drift’). Dit is de aanpak die de minste inspanning vereist om Arc-servers te onboarden in diensten zoals Microsoft Sentinel of VM insights, zoals getest.

Ondersteunde besturingssystemen zijn onder meer Windows Server 2012 R2, 2016, 2019 en 2022, en gangbare zakelijke Linux-distributies zoals Ubuntu LTS (18.04+), RHEL 7–9, SLES 12/15, Oracle Linux 7/8/9, CentOS 7 en Amazon Linux 2. Controleer altijd de exacte versies en kernelvereisten in de actuele documentatie voordat u een grootschalige uitrol uitvoert.

De vereisten voor de agent zijn eenvoudig: TLS 1.2, uitgaand HTTPS (TCP 443), voldoende schijfruimte en geheugen voor de cache van de agent en extensies, een stabiele machineklok en administrator/root-rechten voor de installatie. Voor proxy’s ondersteunt de agent de systeemproxy op Windows (WinHTTP) en een expliciete proxy op beide platformen. Configureer azcmagent om een proxy te gebruiken met

Resources
| where type == "microsoft.hybridcompute/machines"
| extend hasAMA = todynamic(properties.extensions) has_any (x: x.name =~ "AzureMonitorWindowsAgent" or x.name =~ "AzureMonitorLinuxAgent")
| project name, hasAMA

of maak gebruik van

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, patchRing = tags.PatchRing, owner = tags.Owner
| summarize count() by patchRing

op Windows. Als uw omgeving TLS-inspectie gebruikt, importeer dan de vertrouwde root-CA van de proxy in de ‘machine store’ zodat de agent de Azure-eindpunten kan valideren.

Firewall- en egress-allowlists moeten uitgaand verkeer op poort 443 toestaan naar Microsoft Entra ID (voor authenticatie), Azure Resource Manager en regionale Arc-services. Als u Update Management Center en Automanage gaat gebruiken, sta dan ook Windows Update/Microsoft Update en de repositories van uw Linux-distributie toe, plus de ‘content delivery’-eindpunten die pakketten distribueren. Arc vereist geen openstaande inkomende firewallpoorten; al het beheerverkeer wordt vanaf de server naar Azure geïnitieerd.

RBAC voor Arc-enabled servers volgt het model van Azure. Gebruik ingebouwde rollen om taken te scheiden:

• Azure Connected Machine Onboarding staat het aanmaken van ConnectedMachine-resources toe via service principals, zonder bredere wijzigingsrechten te verlenen.
• Azure Connected Machine Resource Administrator beheert de Arc-serverresource en de bijbehorende extensies zonder permissies op abonnementsniveau te verlenen.
• Azure Connected Machine User Login en Azure Connected Machine Administrator Login beheren de interactieve toegang wanneer inloggen via Azure AD wordt ingeschakeld voor SSH (Linux) of RDP/WinRM (Windows). Organiseer Arc-machines in resourcegroepen die de omgeving (Prod/NonProd), geografie, bedrijfseenheid of patch-ring weerspiegelen. Scope beleidsregels, locks en roltoewijzingen op het niveau van de resourcegroep of managementgroep om het beheer te vereenvoudigen.

Veilige SSH-toegang zonder een publiek IP-adres wordt ondersteund via de just-in-time tunneling van Arc. Installeer de AADSSHLoginForLinux-extensie om authenticatie op basis van Entra ID mogelijk te maken en gebruikers/groepen te koppelen aan lokale principals. Geautoriseerde gebruikers met de juiste inlogrol kunnen

PolicyResources
| where type == "microsoft.policyinsights/policystates"
| summarize nonCompliant = countif(isCompliant == false) by resourceId

uitvoeren om een tijdelijke, uitgaande TLS-tunnel naar de SSH-daemon van de server op te zetten - geen inkomende poort, VPN of bastion nodig. Pas Conditional Access en Privileged Identity Management toe om de inlogrollen in de tijd te beperken.

Governance en configuratie op schaal: Azure Policy guest configuration en Automanage

Guest configuration is de in-guest auditing- en configuratiemogelijkheid van Azure Policy voor Arc. Ingebouwde policies dekken gangbare basislijnen af, zoals ervoor zorgen dat de Azure Monitor Agent is geïnstalleerd, het auditen van wachtwoordbeleid, het afdwingen van BitLocker of de FIPS-modus op Windows waar ondersteund, of het vereisen van specifieke syslog-faciliteiten op Linux. Wijs deze policies op schaal toe aan Arc-scopes, en het platform implementeert de Guest Configuration-extensie waar nodig. Voor aangepaste policies, creëer een op DSC gebaseerd guest configuration-pakket dat de gewenste staat uitdrukt (bijvoorbeeld een geharde SSHD-configuratie of Windows Firewall-regels), publiceer het als een aangepaste policy-definitie en wijs het vervolgens toe aan uw Arc-scope.

Remediation-taken zetten audits om in actie. Policies met DeployIfNotExists- of Modify-effecten kunnen configuratie creëren of wijzigen, en u kunt On-demand remediation activeren om bestaande machines in overeenstemming te brengen. Voor terugkerende afwijkingen (drift), schakel automatische remediation in zodat de policy-engine de gewenste staat opnieuw toepast. Volg de compliancestatus per policy, per machine en per scope in de Compliance-blade en exporteer bewijsmateriaal voor toezichthouders vanuit dezelfde UI.

Azure Automanage for Arc-enabled servers operationaliseert ‘machine best practices’. Selecteer een configuratieprofiel dat geschikt is voor Dev/Test of Productie en het platform onboardt de machine in een gecureerde set van services: Azure Monitor (via AMA en een VM insights-profiel), Update Management Center met gedefinieerde onderhoudsvensters, Change Tracking and Inventory, activering van het Microsoft Defender for Cloud-plan en kernbeveiligingsbasislijnen voor het OS. Automanage detecteert continu afwijkingen (drift) van het gekozen profiel en herstelt waar ondersteund, terwijl het inzicht biedt in items die handmatige interventie vereisen in niet-Azure-omgevingen. Omdat Automanage onder de motorkap Azure Policy gebruikt, kunt u profielen op schaal implementeren en vertrouwen op hetzelfde compliancerapportagemodel.

Operations en monitoring: Update Management Center, AMA en DCR, en Arc-extensies

Update Management Center (UMC) is de moderne, agent-light patchingservice voor Azure- en Arc-machines. Het beoordeelt continu ontbrekende beveiligings- en niet-beveiligingsupdates, toont compliance per ernst en classificatie, en ondersteunt zowel eenmalige als terugkerende onderhoudsconfiguraties. Definieer onderhoudsvensters met maximale duur, herstartgedrag (Nooit, Indien nodig of Altijd), pre- en post-scripts, en dynamische targeting met behulp van Azure-query’s en -tags, zodat nieuwe Arc-machines die aan de criteria voldoen automatisch worden opgenomen. Voor Windows haalt UMC updates van Windows Update/Microsoft Update of WSUS indien geconfigureerd; voor Linux, van de geconfigureerde package repositories. Gebruik compliancerapporten om het percentage gepatchte machines per scope te volgen, storingen met gedetailleerde foutcodes te bekijken en gegevens te exporteren voor audits. Omdat UMC niet afhankelijk is van Azure Automation en de verouderde MMA, is dit de strategische weg voorwaarts voor patch-orkestratie.

De Azure Monitor Agent (AMA) is de uniforme telemetriepijplijn voor Arc-enabled servers. In plaats van een workspace hard te coderen op de machine, definieer je Data Collection Rules (DCRs) die beschrijven:

• Wat te verzamelen: Windows event logs, Linux syslog-faciliteiten en -niveaus, performance counters en signalen voor change tracking.
• Waarheen te sturen: een of meer Log Analytics-workspaces, Azure Monitor Metrics en optioneel Event Hubs.
• Hoe te transformeren: optionele data shaping vóór opname (ingestion). Koppel DCRs op het niveau van de resource, resource group, subscription of management group. Dit ontkoppelt de configuratie van de machine en maakt het triviaal om een machine tussen workspaces te verplaatsen of verschillende data in verschillende omgevingen te verzamelen. VM insights op Arc gebruikt nu AMA met het VM insights DCR-profiel voor prestaties; voor dependency maps en procestopologie, installeer de Dependency Agent.

Extensies zijn het leveringsmechanisme voor in-guest-mogelijkheden. Beheer ze vanuit de Extensions-blade van de Arc-server, de CLI of via Policy:

• Microsoft Monitoring Agent (MMA) is verouderd (legacy) en uitgefaseerd voor de meeste oplossingen; gebruik deze alleen als een afhankelijkheid nog niet is overgestapt op AMA.
• Azure Monitor Agent (AMA) is de huidige standaard voor logs en metrics; koppel deze aan DCRs.
• Dependency Agent levert service- en proces-maps, vereist voor de VM insights-map totdat de volledige vervanging is voltooid.
• Custom Script Extension (Windows/Linux) voert scripts op schaal uit voor bootstrap of corrigerende acties wanneer Policy-remediation de gewenste wijziging niet kan uitdrukken.
• AADSSHLoginForLinux en AADLoginForWindows maken inloggen met Entra ID mogelijk. Andere veelvoorkomende extensies zijn Defender for Endpoint en clients voor configuratiebeheer. Gebruik Azure Policy om te zorgen dat de vereiste extensies aanwezig en in goede staat zijn. Updates, rollbacks en de status van extensies zijn zichtbaar in de resource en in het Activity log voor auditing.

Inventaris, compliance en rapportage met Azure Resource Graph

Azure Resource Graph (ARG) queries retourneren vrijwel real-time inventaris- en compliancestatus van alle Arc-enabled servers zonder agents. Gebruik het voor het aansturen van CMDB-synchronisatie, tag-hygiëne en de selectie van de scope voor beleid en patching. Veelvoorkomende patronen zijn onder andere:

• Hybride inventaris per OS en locatie:

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, resourceGroup, location, osName = properties.osName, osVersion = properties.osVersion, status = properties.status

• Gereedheid voor Sentinel/AMA:

Resources
| where type == "microsoft.hybridcompute/machines"
| extend hasAMA = todynamic(properties.extensions) has_any (x: x.name =~ "AzureMonitorWindowsAgent" or x.name =~ "AzureMonitorLinuxAgent")
| project name, hasAMA

• Op tags gebaseerde rapportage en targeting van patch-ringen:

Resources
| where type == "microsoft.hybridcompute/machines"
| project name, patchRing = tags.PatchRing, owner = tags.Owner
| summarize count() by patchRing

• Samenvatting van beleidscompliance:

PolicyResources
| where type == "microsoft.policyinsights/policystates"
| summarize nonCompliant = countif(isCompliant == false) by resourceId

Deze queries vormen de basis voor dynamische scopes in Update Management Center, Automanage-toewijzingen en dashboards. Standaardiseer een minimale set tags (Environment, PatchRing, BusinessUnit, Owner) bij onboarding, zodat ARG bruikbaar blijft.

Praktijkscenario

Contoso Ltd. heeft 600 on-premises Windows Server en Linux VM’s, gehost in twee datacenters, die worden beheerd met Configuration Manager en Ansible. Het management vereist gestandaardiseerde monitoring, maandelijkse patching met strikte onderhoudsvensters op zaterdag, onboarding naar Sentinel en veilige SSH-toegang voor engineers zonder openbare IP-adressen bloot te stellen. Ze willen ook compliance-bewijs voor auditors en een minimale, doorlopende administratieve inspanning.

1. Bereid least-privilege toegang voor

• Maak een service principal met een scope die beperkt is tot de RG’s die de Arc-machines zullen bevatten en wijs de rol ‘Azure Connected Machine Onboarding’ toe. Dit maakt geautomatiseerde onboarding via bestaande tools mogelijk zonder brede rechten te verlenen. Waarom: Onboarding op basis van een service principal is schaalbaar en voldoet aan het principe van least privilege.

2. Onboard machines met automatisering

• Gebruik het gegenereerde Arc-onboardingscript met de service principal in Configuration Manager voor Windows en Ansible voor Linux om azcmagent te installeren en elke server te registreren in de juiste RG (getagd met Environment en PatchRing). Waarom: Hergebruikt bestaande implementatietools voor een snelle, consistente uitrol en voegt tags toe voor governance verderop in het proces.

3. Stel netwerk- en proxy-egress in

• Zorg voor uitgaand verkeer op poort 443 naar Entra ID, Azure Resource Manager, regionale Arc-eindpunten, Windows Update/Microsoft Update en distro-repositories. Configureer de proxy-instellingen van azcmagent en importeer de root-CA voor TLS-inspectie waar nodig. Waarom: Garandeert de gezondheid van de agent en extensies, het ophalen van updates en voorkomt connectiviteitsafwijkingen.

4. Dwing basisconfiguraties af met Azure Policy guest configuration

• Wijs ingebouwde beleidsregels toe om de Guest Configuration-extensie, AMA en Dependency Agent te implementeren. Pas een aangepast guest configuration-pakket toe om SSH- en RDP-instellingen te versterken (‘hardenen’). Schakel automatisch herstel in voor kritieke instellingen. Waarom: Policy drukt de gewenste status op schaal uit, biedt detectie van afwijkingen (‘drift detection’) en herstelt deviaties.

5. Standaardiseer operationele taken met Automanage

• Wijs het ‘Automanage for Arc Production’-profiel toe aan productie-RG’s en het ‘Dev/Test’-profiel aan niet-productieomgevingen. Controleer alle items die voor non-Azure als handmatig zijn gemarkeerd. Waarom: Automanage past continu best practices toe met minimale inspanning van de operator.

6. Configureer monitoring en Sentinel-onboarding

• Maak DCR’s om Windows SecurityEvent, Syslog auth-faciliteiten en prestatiemeteritems te verzamelen in een centrale Log Analytics-werkruimte die is verbonden met Microsoft Sentinel. Gebruik Azure Policy om DCR’s te koppelen aan alle Arc-machines en om de Sentinel-solution packs te implementeren waar nodig. Waarom: AMA + DCR ontkoppelen de dataverzameling van de machines, en Azure Policy biedt de onboardingmethode met de minste inspanning, zoals gevalideerd in examenscenario’s.

7. Orkestreer patching met Update Management Center

• Definieer maandelijks terugkerende onderhoudsconfiguraties per PatchRing-tag met een venster van 4 uur op zaterdag, een herstart indien nodig en notificatie-hooks. Gebruik dynamische scopes op basis van tags zodat nieuwe machines automatisch worden opgenomen. Waarom: UMC biedt agent-light, tag-gestuurde patch-governance met auditeerbare compliancerapportage.

8. Maak veilige SSH mogelijk zonder openbare IP’s

• Implementeer AADSSHLoginForLinux via Policy en geef engineers de rol ‘Azure Connected Machine User Login’ op de doel-RG’s via Privileged Identity Management. Instrueer engineers om az ssh arc te gebruiken met just-in-time activering. Waarom: Arc-tunneling elimineert de noodzaak voor openbare inkomende verbindingen of jump hosts, en Entra ID plus PIM levert least-privilege, tijdgebonden toegang.

9. Rapporteer en auditeer met Resource Graph en Compliance

• Bouw ARG-workbooks om de Arc-inventaris per omgeving, de dekking van AMA/Dependency Agent, trends in beleidscompliance en UMC-patchcompliance per PatchRing te tonen. Exporteer maandelijks het compliance-bewijs. Waarom: ARG en de compliance-vlakken van Policy/UMC centraliseren bewijsmateriaal en verminderen de audit-overhead.

Door de combinatie van onboarding op basis van een service principal, de implementatie van extensies en guest configuration via Policy, Automanage-profielen, AMA met DCR’s, UMC-patching, Arc SSH en Resource Graph-rapportage, realiseert Contoso een veilig, consistent en auditeerbaar beheer van hybride servers met minimale handmatige tussenkomst.

← Active Directory Domain Services Beveiliging · Alle domeinen · Encryptie →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →

Blader door Microsoft →