Il y a quelques jours, Microsoft vient d’annoncer une nouvelle fonctionnalité de migration très intéressante pour les machines virtuelles déjà en place : la possibilité de déplacer une machine virtuelle, actuellement non zonée, vers une zone précise de la région Azure.
Pourquoi faire ? Pour accroitre la résilience de l’infrastructure 🙏
En revanche, la possibilité d’utiliser ce type de migration dépendra de votre scénario actuel :
Scénario
Assistance technique
Détails
Machine virtuelle à instance unique
Prise en charge
Le déplacement régional vers zonal de machines virtuelles à instance unique est pris en charge.
Machines virtuelles au sein d’un groupe à haute disponibilité
Non pris en charge
Machines virtuelles à l’intérieur de groupes de machines virtuelles identiques avec orchestration uniforme
Non pris en charge
Machines virtuelles à l’intérieur de groupes de machines virtuelles identiques avec orchestration flexible
Non pris en charge
Régions prises en charge
Prise en charge
Seules les régions prises en charge par la zone de disponibilité sont prises en charge. En savoir plus sur les détails de la région.
Machines virtuelles déjà situées dans une zone de disponibilité
Non pris en charge
Le déplacement interzone n’est pas pris en charge. Seules les machines virtuelles qui se trouvent dans la même région peuvent être déplacées vers une autre zone de disponibilité.
Extensions de machine virtuelle
Non pris en charge
Le déplacement de machine virtuelle est pris en charge, mais les extensions ne sont pas copiées sur une machine virtuelle zonale cible.
Machines virtuelles avec lancement fiable
Prise en charge
Réactivez l’option Analyse de l’intégrité dans le portail et enregistrez la configuration après le déplacement.
Machines virtuelles confidentielles
Prise en charge
Réactivez l’option Analyse de l’intégrité dans le portail et enregistrez la configuration après le déplacement.
Machines virtuelles de 2e génération (démarrage UEFI)
Prise en charge
Machines virtuelles dans des groupes de placement de proximité
Prise en charge
Le groupe de placement de proximité source (PPG) n’est pas conservé dans la configuration zonale.
VM spot (machines virtuelles de basse priorité)
Prise en charge
Machines virtuelles avec hôtes dédiés
Prise en charge
L’hôte dédié de machine virtuelle source ne sera pas conservé.
Machines virtuelles avec mise en cache de l’hôte activée
Prise en charge
Machines virtuelles créées à partir d’images de la Place de marché
Prise en charge
Machines virtuelles créées à partir d’images personnalisées
Prise en charge
Machine virtuelle avec licence HUB (Hybrid Use Benefit)
Prise en charge
Stratégies RBAC de machine virtuelle
Non pris en charge
Le déplacement de machine virtuelle est pris en charge, mais les RBAC ne sont pas copiés sur une machine virtuelle zonale cible.
Pour réaliser cet exercice sur la bascule d’une VM dans une zone d’Azure, il vous faudra disposer des éléments suivants :
Un tenant Microsoft
Une souscription Azure valide
Afin de pouvoir tester cette fonctionnalité toujours en préversion, il est nécessaire de créer une machine virtuelle non Zonée (ou Régionale).
Etape I – Préparation de la VM Régionale :
Pour cela, rechercher le service Machines virtuelles sur le portail Azure :
Cliquez-ici pour commencer la création de la première machine virtuelle :
Renseignez les informations de base relatives à votre VM en choisissant aucune redondance :
Choisissez la taille de votre VM, définissez un compte administrateur local, bloquer les ports entrants, puis cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Décochez l’extinction automatique de la machine virtuelle, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création de la première VM, puis attendez environ 2 minutes :
Une fois le déploiement terminé, cliquez-ici pour consulter votre première machine virtuelle :
Cliquez-ici pour déclencher le déploiement du service Azure Bastion :
Ouvrez une session de bureau à distance via Azure Bastion en utilisant les identifiants administrateurs renseignés lors de la création de la VM :
Ouvrez une ou plusieurs applications en enregistrant le travail effectué :
Notre première machine virtuelle non-zonée ou régionale est maintenant opérationnelle. Nous pouvons dès à présent lancer le processus de migration vers la zone souhaitée.
Etape II – Déplacement de la VM Régionale dans une Zone :
Pour commencer ce processus, rendez-vous dans l’un des 2 menus suivants :
Cliquez sur le menu à gauche appelé Disponibilité + dimensionnement.
Cliquez sur le bouton d’édition à droite pour modifier la Zone de disponibilité.
Cliquez-ici pour démarrer le processus de migration :
Choisissez la zone cible pour la migration :
Il est possible que certaines zones cibles vous soit refusées pour des questions de capacités.
Attendez environ 2-3 minutes afin qu’Azure mette en place les droits RBAC nécessaires pour procéder à la migration :
Une notification Azure apparaît également :
Un nouveau groupe de ressources est créé par cette même occasion :
Des droits RBAC sont également générés au niveau de la souscription Azure concernée :
Une fois le traitement terminé, l’écran suivant apparait, modifiez les champs au besoin :
Dans mon cas, j’ai modifié les valeurs suivantes, puis j’ai cliqué sur Valider :
Création d’un nouveau groupe de ressources
Création de nouvelles ressources pour tous les objets existants
Modification des noms des ressources
La validation entraine une seconde vérification des paramètres modifiés :
Une nouvelle notification Azure apparait indiquant que le traitement est en cours :
Environ 30 secondes plus tard, le traitement de validation se termine :
Lancez le déplacement des ressources en cochant la case ci-dessous, puis en cliquant sur Déplacer :
Le traitement démarre et vous informe que celui-ci durera plusieurs minutes :
Le nouveau groupe de ressources Azure se créé avec les ressources commencent également à y apparaître :
La session de bureau à distance ouverte via Azure Bastion sur la première machine virtuelle se ferme, comme attendu :
Un rapide contrôle du statut de la première machine virtuelle nous montre que cette dernière s’est bien arrêtée :
Le groupe de ressource créé par le service de déplacement nous montre la présence d’une collection de points de restauration :
Il s’agit d’un snapshot de la VM créé provisoirement.
Celle-ci contient bien un point de restauration lié au traitement de migration de la VM :
Environ 5 minutes plus tard, l’écran nous indique que le traitement est terminé. On y apprend également plusieurs choses :
La première machine virtuelle a bien été arrêtée, mais n’a pas été supprimée
La seconde machine virtuelle est bien démarrée et est localisée dans la zone 3
Des consignes post-déploiement sont même affichées afin de vous guider sur la suite :
Le nouveau groupe de ressources créé par la migration montre bien toutes les ressources configurées selon les options renseignées :
De retour dans le groupe de ressources précédent, la collection des points de restauration a disparu après la migration :
Etape III – Contrôle de la VM zonée :
Les deux machines virtuelles sont bien présentes et visibles, cliquez sur la nouvelle VM :
Vérifiez la présence de la zone 3, puis cliquez sur le Editer :
Microsoft vous indique qu’il n’est pas encore possible de déplacer des ressources entre les zones dans une région Azure :
Cette information de zone de notre machine virtuelle est aussi disponible ici :
Comme un nouveau réseau virtuel a été recréé dans mon exemple, pour me connecter en RDP, je dois effectuer une des actions suivantes :
Redéployer un service Azure Bastion
Utiliser l’adresse IP publique
Appairer les 2 réseaux virtuels entre eux
Ouvrez une session de bureau à distance via Azure Bastion en utilisant les identifiants administrateurs renseignés lors de la création de la première VM :
Vérifiez la présence du travail effectué précédemment :
Etape IV – Nettoyage des ressources non zonées :
Important : l’infrastructure existante telle que les VNET, les sous-réseaux, les NSG, les LB, … tirent déjà parti d’une configuration zonale, nous aurions pu les garder au lieu d’en recréer.
Si tout est OK pour vous, il ne vous restera qu’à supprimer les deux groupes de ressources suivants :
Groupe de ressources contenant l’ancienne machine virtuelle
Groupe de ressource contenant les composants liés à la migration
La suppression d’un groupe de ressources Azure s’effectue très simplement :
Confirmez l’ordre de suppression :
Conclusion
Microsoft automatise tous les jours un peu plus certaines tâches manuelle au fil des améliorations faites à Azure. Tous les gains d’efficacité doivent également profiter aux ressources déjà déployées.
On pourra peut-être bientôt voir le même type de processus automatisé intégrer des machines virtuelles existantes dans des Availability Sets ou des Proximity placement groups 😎
En cas de sinistre informatique, il n’y a aucun moyen de savoir ce qui peut frapper ou comment votre l’infrastructure peut en être affectée. Toutefois, en adoptant une approche réfléchie de la planification en cas de catastrophe, vous créer une tranquillité d’esprit si votre entreprise devait être confrontée à un sinistre.
Azure Site Recovery : permet d’assurer la continuité de l’activité en maintenant l’exécution des charges de travail et applications métier lors des interruptions. Site Recovery réplique les charges de travail s’exécutant sur des machines virtuelles et physiques depuis un site principal vers un emplacement secondaire.
En cas d’interruption au niveau de votre site principal, vous basculez vers un emplacement secondaire, depuis lequel vous pouvez accéder aux applications. Quand l’emplacement principal est de nouveau fonctionnel, vous pouvez effectuer une restauration automatique vers celui-ci.
Pour réaliser cet exercice sur Azure Site Recovery, il vous faudra disposer de :
Un tenant Microsoft
Une souscription Azure valide
Important : Pour cela, je vous propose de simuler deux serveurs sous Windows Server 2019 grâce à un environnement virtualisé de type Hyper-V hébergé lui sur Azure
Dans Azure, il est en effet possible d’imbriquer de la virtualisation. Cela demande malgré tout quelques exigences, comme le SKU de la machine virtuelle Hyper-V, mais aussi sa génération.
Etape I – Préparation de la machine virtuelle hôte (Hyper-V) :
Depuis le portail Azure, commencez par rechercher le service des machines virtuelles :
Cliquez-ici pour créer votre machine virtuelle hôte (Hyper-V) :
Renseignez tous les champs de base de votre machine virtuelle Hyper-V :
Choisissez une taille de machine virtuelle présent dans la famille Dsv3 :
Définissez un compte administrateur local, puis cliquez sur Suivant :
Rajoutez un second disque pour stocker la machine virtuelle invitée (Windows 11),créée plus tard dans notre machine virtuelle hôte (Hyper-V) :
Conservez les options par défaut, puis cliquez sur OK :
Cliquez ensuite sur Suivant :
Retirez l’adresse IP publique (pour des questions de sécurité), puis cliquez sur Suivant :
Décochez l’extinction automatique de la machine virtuelle, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création de la première VM, puis attendez environ 3 minutes :
Une fois le déploiement terminé, cliquez-ici pour consulter votre machine virtuelle Hyper-V :
Cliquez-ici pour déclencher le déploiement du service Azure Bastion :
Attendez environ 5 minutes qu’Azure Bastion soit déployé pour continuer cet exercice :
La notification suivante vous indique alors le succès de la création d’Azure Bastion :
La configuration Azure est maintenant terminée, la suite va se passer sur la machine virtuelle Hyper-V.
Etape II – Configuration Hyper-V :
Ouvrez une session de bureau à distance via Azure Bastion en utilisant les identifiants administrateurs renseignés lors de la création de la VM :
Une fois connecté sur votre machine virtuelle hôte (Hyper-V), ouvrez Windows PowerShell :
Exécutez la commande suivante pour installer les deux rôles suivants :
Ouvrez le Gestionnaire de disques depuis le menu démarrer afin de configurer le disque de données ajouté sur votre VM hôte (Hyper-V) :
Dès l’ouverture du Gestionnaire de disques, cliquez sur OK pour démarrer l’initialisation du disque de données :
Sur celui-ci, créez un nouveau volume :
Cliquez sur Suivant :
Cliquez sur Suivant :
Cliquez sur Suivant :
Cliquez sur Suivant :
Cliquez sur Suivant :
L’environnement Hyper-V est maintenant en place. Nous allons pouvoir créer ensemble deux machine virtuelles :
Windows Server 2019 pour jouer le rôle d’Appliance Azure Site Recovery
Windows Server 2019 pour jouer le rôle d’un serveur on-premise
Etape III – Création des machines virtuelles (Appliance / SRV) :
Pour cela, il est nécessaire de récupérer une image au format ISO de Windows Server 2019 afin de créer la machine virtuelle Appliance, puis d’y installer l’OS.
Toujours sur la machine virtuelle hôte (Hyper-V), ouvrez le navigateur internet Microsoft Edge.
Rendez-vous sur la page suivante pour télécharger l’ISO de Windows Server 2019, puis effectuez les actions suivantes :
Attendez quelques minutes pour que le téléchargement de l’ISO se termine :
Depuis votre VM hôte (Hyper-V), rouvrez votre console Hyper-V Manager, puis cliquez-ici pour créer votre première machine virtuelle Appliance :
Cliquez sur Suivant :
Modifier les informations suivantes pour pointer vers le nouveau lecteur créé sur la VM hôte (Hyper-V), puis cliquez sur Suivant :
Pensez à bien choisir Génération 2 :
Modifier la taille de la mémoire vive allouée à la VM Appliance, puis cliquez sur Suivant :
Utilisez le switch créé précédemment, puis cliquez sur Suivant :
Cliquez sur Suivant :
Utilisez le fichier ISO de Windows Server 2019 téléchargé précédemment, puis cliquez sur Suivant :
Cliquez sur Terminer pour finaliser la création de votre machine virtuelle archive :
Modifiez le nombre de processeurs virtuels, puis cliquez sur OK :
Cliquez-ici pour lancer le démarrage de la VM archive :
Appuyez sur n’importe quelle touche du clavier pour démarrer sur l’image ISO de Windows Server 2019 :
Choisissez les informations de langue qui vous correspondent, puis cliquez sur Suivant :
Lancez l’installation de Windows Server 2019 :
Choisissez une version suivante de Windows Server 2019, puis cliquez sur Suivant :
Acceptez les termes et conditions de Microsoft, puis cliquez sur Suivant :
Sélectionnez l’installation personnalisée de Windows Server 2019 :
Validez l’installation sur le seul disque disponible, puis cliquez sur Suivant :
Attendez maintenant que l’installation de Windows Server 2019 commence :
En attentant que l’installation de Windows Server 2019 se finisse sur la machine virtuelle Appliance, créez une seconde machine virtuelle appelée et SRV de génération 1 :
De la même manière que pour la VM appliance, lancez l’installation de Windows Server 2019 sur la VM SRV :
Une fois les deux installations terminées, définissez un mot de passe pour le compte administrateur local :
Sur les 2 VMs, renseignez le mot de passe administrateur pour ouvrir une sessions Windows :
Désactivez la sécurité Internet Explorer, puis cliquez sur OK :
Depuis Internet Explorer, recherchez puis installez Edge :
Nous deux machines virtuelles sont correctement installées. La suite consiste à mettre en place l’appliance d’Azure Site Recovery.
Etape IV – Configuration Azure Site Recovery :
Retournez sur le portail Azure afin de créer le Coffre de restauration (Azure Recovery Vault) :
Renseignez les informations de base de votre Coffre de restauration, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création de Coffre de restauration, puis attendez environ 1 minute :
Une fois le déploiement terminé, cliquez-ici pour commencer la configuration de Coffre de restauration :
Préparer l’infrastructure on-premise en cliquant ici :
Cliquez sur le lien suivant afin d’ouvrir la documentation Microsoft :
Copiez le lien ci-dessous (ou ici) afin de télécharger l’appliance dédiée à Azure Site Recovery :
Collez ce lien dans la machine virtuelle Appliance, puis attendez la fin du téléchargement :
Une fois l’archive ZIP téléchargé, ouvrez le dossier contenant celle-ci :
Avant de décompresser l’archive ZIP, débloquez celle-ci grâce à la case suivante, puis cliquez sur OK :
Lancez l’extraction dans le dossier de votre choix :
Attendez environ 3 minutes que l’archive ZIP se décompresse en totalité :
Sur la machine virtuelle Appliance, ouvrez une session PowerShell, puis positionnez-vous le dossier où l’archive ZIP a été extraite :
Lancez la commande PowerShell suivante :
.\DRInstaller.ps1
Confirmez la réponse avec Y :
Attendez environ 2 minutes que le traitement PowerShell se termine :
Vérifiez qu’aucune erreur n’a été remontée dans la fenêtre PowerShell :
Toujours sur la VM Appliance, retrouvez le dossier Software créé à la racine du disque Q afin de modifier ses propriétés :
Dans l’onglet Partage, cliquez sur le bouton Partager :
Confirmez les utilisateurs voulus, puis cliquez sur Partager :
Copiez le chemin du partage puis fermez la fenêtre de configuration du partage :
Lancez les 2 actions suivantes respectivement sur les deux VMs :
Sur la machine virtuelle Appliance, ouvrez Microsoft Azure Appliance Configuration Manager (présent sur le bureau )
Sur la machine virtuelle SRV, utilisez l’explorateur Windows pour vous rendre sur le chemin du partage activé précédemment
Sur la VM Appliance, vérifiez le bon fonctionnement réseau ainsi que les préconisations minimales, puis cliquez sur Continuer :
Attendez le contrôle de version, puis cliquez sur Continuer :
Cliquez sur Sauvegarder :
Cliquez sur Continuer :
Coller la clef précédemment présentée sur votre Coffre de restauration Azure, puis cliquez sur Login :
La fenêtre suivante s’ouvre afin que vous puissiez copier le code d’identification dans Azure :
Renseignez ce code dans la fenêtre d’authentification Azure, puis cliquez sur Suivant :
Renseignez vos identifiants Azure :
Réussissez le challenge MFA si nécessaire :
Cliquez sur Continuer afin d’autoriser la configuration avec Azure :
Vérifiez la confirmation Azure :
Attendez que l’enregistrement sur Azure se termine :
Cliquez sur Continuer :
Cochez la case suivante puis cliquez sur Continuer :
Ajoutez les informations relatives (identifiants / IP) à la machine virtuelle SRV :
Une fois ces informations renseignées, cliquez sur Continuer :
Comme indiqué, attendez jusqu’à 30 minutes que le traitement se termine :
En attendant, lancez l’installation de l’agent sur la machine virtuelle SRV disponible sur le partage réseau activé précédemment :
Cliquez sur Suivant :
Attendez environ 2 minutes que l’installation se termine :
Une fois l’installation terminée, cliquez ici pour configurer l’agent :
Copiez les détails de la machine virtuelle SRV dans le bloc-notes :
Créez sur le partage réseau un fichier texte contenant les détails de la machine virtuelle SRV, collez le contenu de ce fichier texte sur la machine virtuelle Appliance, puis téléchargez le fichier de configuration :
Sauvegardez le fichier de configuration téléchargé précédemment sur le partage réseau, puis insérez le dans la configuration de la machine virtuelle SRV :
Lancez le traitement de configuration, puis attendez environ 1 minute :
Cliquez sur terminer une fois tous les voyants au vert :
De retour sur Azure, vérifiez la bonne configuration de l’infrastructure de reprise dans le Coffre de restauration :
La configuration d’Azure Site Recovery est maintenant terminée. La prochaine étape consiste en la mise en place de la réplication vers Azure.
Etape V – Activation de la réplication :
Activez la réplication de votre VM SRV via le menu suivant :
Choisissez votre VM SRV dans la liste des machines à répliquer, puis cliquez sur Suivant :
Cliquez sur Suivant :
Renseignez tous les champs ci-dessous, puis cliquez sur Suivant :
Activez la réplication Azure :
Une première notification Azure apparaît pour vous signaler la mise en place des ressources :
Puis une seconde notification Azure apparaît pour vous indiquer le démarrage de la réplication de votre VM SRV :
Un clic sur cette notification nous affiche toutes les étapes et travaux réalisés au sein du Coffre de restauration :
Environ 10 minutes, une nouvelle notification nous indique le succès de la configuration de réplication :
Cliquez ici pour suivre l’avancement de la réplication des données vers Azure :
La machine virtuelle SRV est maintenant répliquée dans Azure. Nous allons maintenant pouvoir tester la réplication ASR via la fonction de bascule (failover).
Etape VI – Test de la réplication :
Environ 45 minutes après, la machine virtuelle SRV est enfin répliquée dans Azure et son statut change en Protégée :
Environ 30 secondes plus tard, le traitement est exécuté avec succès :
Ouvrez une session de bureau à distance via Azure Bastion en utilisant les mêmes identifiants administrateurs :
Réouvrez le fichier image créé précédemment avant la bascule :
Conclusion :
Malgré une mise en place un peu longue et des exigences de puissance CPU / Mémoire concernant la machine virtuelle appliance, la mise en place d’Azure Site Recovery a bien fonctionné. Que demandez de plus 😎🥳
Peu importe l’architecture IT choisie, celle-ci coûtera toujours « trop cher » aux yeux de clients potentiels. Le Cloud n’échappe pas à cette règle, et demande donc tous les efforts possibles pour maitriser au mieux les coûts des ressources déployées. Microsoft annonce en préversion publique une fonctionnalité dédiée à la mise en veille des machine virtuelles : l’hibernation.
Qu’est-ce que l’hibernation ?
Hibernation : état d’hypothermie régulée, durant plusieurs jours ou semaines qui permet aux animaux de conserver leur énergie pendant l’hiver. Durant l’hibernation, les animaux ralentissent leur métabolisme jusqu’à des niveaux très bas, abaissant graduellement la température de leur corps et leur taux respiratoire, et puisent dans les réserves de graisse du corps qui ont été stockées pendant les mois actifs.
Azure voit les VMs de la même manière que les mammifères 🤣:
Lorsqu’on hiberne une VM Azure : ce dernier échange avec l’OS afin de stocker le contenu de la mémoire de la VM sur le disque du système d’exploitation, puis désalloue la VM.
Lorsque la VM est redémarrée et sort d’hibernation : le contenu de la mémoire est retransféré du disque OS vers la mémoire. Cela permet alors de retrouver les applications et processus en cours d’exécution.
En quelques lignes, une machine virtuelle allumée regroupe les principaux coûts suivants :
Le Calcul (CPU/Mémoire): le coût du service calcul va dépendre de sa taille, donc de sa technologie, de son nombre de coeurs et de sa taille de mémoire.
Le Stockage (Disques): Bien souvent, de l’information a besoin d’être stockée dans une architecture. Qu’elle soit utilisée par le service de calcul, mise à disposition pour des accès externes ou pour des besoins de sauvegarde, le stockage disposera généralement de 3 variables : taille (Go; To), débit (Mo/sec; Go/sec) et puissance transactionnelle (IOPS).
Le Réseau (Carte réseau): Une VM Azure a besoin de communiquer avec des utilisateurs ou d’autres ressources IT. Comme pour le stockage, la tarification réseau repose sur des variables : taille de la bande passante et le volume de données en transition.
La licence logicielle (OS): Là encore, la VM Azure sera souvent exploitée par un système d’exploitation et/ou logiciel, dont certains fonctionnent sous licence payante. Dans l’exemple des licences Microsoft, comme Windows Server ou SQL Server, la tarification Azure repose sur la taille du service de calcul, comme le nombre de coeurs des machines virtuelles.
Combien coûte une machine virtuelle éteinte ?
Une machine virtuelle même si les ressources sont désallouées coûte toujours :
Le Stockage (Disques) est une resource constamment allouée.
Le Réseau (Carte réseau): certaines ressources, comme les adresses IP publiques, peuvent être constamment allouées.
Combien coûte une machine virtuelle en hibernation ?
De la même manière que dans un état désalloué, la machine virtuelle continuera de coûter pour le stockage utilisé par les disques et aussi certaines ressources réseaux.
Pourquoi utiliser l’hibernation au lieu d’éteindre la VM ?
Microsoft nous détaille des scénarios envisageables pour ce mode Pause :
Les postes de travail virtuels, le développement/test et d’autres scénarios où les machines virtuelles n’ont pas besoin de fonctionner 24 heures sur 24 et 7 jours sur 7. Les systèmes dont les temps de démarrage sont longs en raison d’applications gourmandes en mémoire.
Quelles sont les VMs compatibles avec le mode Hibernation ?
Plusieurs limitations à l’hibernation sont ainsi actuellement en vigueur, et vont certainement évoluer par la suite :
Ne s’active pas sur des VMs déjà déployées
Aucun redimensionnement SKU possible sur des VMs ayant la fonctionnalité hibernation
Fonction d’hibernation est non désactivable après l’activation
Limitations de compatibilité selon l’OS :
Linux (dépourvue de Trusted Lunch) :
Ubuntu 22.04 LTS
Ubuntu 20.04 LTS
Ubuntu 18.04 LTS
Debian 11
Debian 10 selon noyau
Windows (page file hors disque D):
Windows Server 2022
Windows Server 2019
Windows 10/11 (Pro / Enterprise / multisession)
Uniquement certains SKUs supportent actuellement l’hibernation :
Dasv5-series
Dadsv5-series
Dsv5-series
Ddsv5-series
Important : Comme pour une VM désallouée, le risque est toujours présent lors du redémarrage si la VM hibernée, car elle nécessite des ressources potentiellement non disponibles à l’instant T.
Afin de se faire une meilleure idée sur l’hibernation d’Azure, je vous propose de réaliser un petit exercice combinant 2 exemples de VMs. Nous allons détailler toutes les étapes nécessaires, de la configuration aux tests :
Pour réaliser cet exercice sur l’hibernation de machines virtuelles Azure, il vous faudra disposer des éléments suivants :
Un tenant Microsoft
Une souscription Azure valide
Etape I – Préparation de l’environnement Azure :
Avant de pouvoir tester cette fonctionnalité toujours en préversion, il est nécessaire d’activer cette dernière sur la souscription Azure concernée.
Pour cela, rendez-vous dans le portail Azure, sur la page des fonctionnalités en préversion de votre souscription, puis effectuez une activation en recherchant celle-ci comme ci-dessous :
Attendez environ une minute que votre demande soit acceptée par Microsoft :
La notification suivante vous indique alors le succès de l’opération :
La suite consiste maintenant à créer une première machine virtuelle compatible et avec l’hibernation activée.
Etape II – Création d’une machine virtuelle compatible :
Pour cela, rechercher le service Machines virtuelles sur le portail Azure :
Cliquez-ici pour commencer la création de la première machine virtuelle :
Renseignez les informations de base relatives à votre VM en choisissant bien une image OS Windows 11 Pro, puis cliquez ici pour afficher les tailles de VMs :
Choisissez la taille de votre VM parmi l’une des séries suivantes :
Dasv5-series
Dadsv5-series
Dsv5-series
Ddsv5-series
Si la case d’hibernation est toujours grisée, attendez encore 10-20 minutes avant de retenter l’opération de création :
Si la case d’hibernation est disponible, cochez celle-ci, définissez un compte administrateur local, bloquer les ports entrants, cochez la case concernant le droit de licence, puis cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Créez un nouveau réseau virtuel, retirez l’adresse IP publique, puis cliquez sur Suivant :
Décochez l’extinction automatique de la machine virtuelle, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création de la première VM, puis attendez environ 3 minutes :
Une fois le déploiement terminé, cliquez-ici pour consulter votre première machine virtuelle :
Consultez l’extension automatiquement installée sur votre VM pour rendre fonctionnel l’Hibernation d’Azure :
Cliquez-ici pour déclencher le déploiement du service Azure Bastion :
Attendez environ 5 minutes qu’Azure Bastion soit déployé pour continuer cet exercice :
La notification suivante vous indique alors le succès de la création d’Azure Bastion :
Notre première machine virtuelle est enfin prête. Afin de bien mesurer l’impact de l’hibernation d’Azure, connectons-nous à la VM pour y ouvrir différents programmes.
Etape III – Test de l’hibernation :
Ouvrez une session de bureau à distance via Azure Bastion en utilisant les identifiants administrateurs renseignés lors de la création de la VM :
Attendez que la session Windows 11 s’ouvre avec le compte local :
Cliquez sur Suivant :
Cliquez sur Accepter :
Ouvrez plusieurs applications sans enregistrer les travails effectués :
Rendez-vous sur la page Azure de votre machine virtuelle, puis cliquez sur Hiberner :
Confirmez votre choix en cliquant sur Oui :
Attendez environ 1 minute :
La session ouverte via Bastion se retrouve alors automatiquement déconnectée, cliquez sur Fermer :
La notification suivante vous indique alors le succès de l’opération d’hibernation :
Un nouveau statut apparaît alors sur votre première machine virtuelle :
Afin de redémarrer la première VM, cliquez-ici :
Attendez environ 1 minute que la première VM soit redémarrée :
Réouvrez à nouveau une session via Azure Bastion avec les mêmes identifiants :
Constatez la réapparition des applications ouvertes avec les travails non enregistrés :
Cette première étape nous montre la facilité de mise en place de l’hibernation et l’intérêt potentiel pour les charges de travail variables ou discontinues.
Continuons cet exercice avec une seconde machine virtuelle créée cette fois-ci sans l’option d’hibernation.
Etape IV – Création d’une machine virtuelle incompatible :
Renseignez les informations de base relatives à votre seconde VM en choisissant bien une image OS Windows 11 Pro, puis en ne cochant pas la case hibernation :
Une fois la seconde VM créée, vérifiez que la fonction Hiberner est bien grisée pour celle-ci :
Ouvrez la page Azure du disque OS de celle-ci afin de créer un snapshot de ce dernier :
Renseignez les informations de base relatives à votre snapshot, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création du snapshot, puis attendez environ 1 minute :
Une fois le déploiement terminé, cliquez-ici pour consulter le snapshot de votre disque :
Cliquez-ici pour créer un nouveau disque OS à partir de ce snapshot :
Renseignez les informations de base relatives à ce nouveau disque OS, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création du disque OS, puis attendez environ 1 minute :
Continuons avec une troisième machine virtuelle créée cette fois-là avec l’option d’hibernation :
Arrêtez cette troisième machine virtuelle via la fonction d’arrêt :
Confirmez votre choix en cliquant sur Oui :
Toujours sur cette troisième VM, allez sur la page des disques afin de basculer vers le disque précédemment généré depuis le snapshot de la seconde VM :
Choisissez le seul disque disponible et issu du snapshot, puis cliquez sur OK :
La notification suivante vous indique alors le succès de l’opération de bascule des disques OS :
Redémarrer la troisième machine virtuelle Azure :
Une fois redémarrée, vérifiez la présence de la fonctionnalité Hiberner :
Consultez l’extension installée sur votre troisième VM :
Afin de vérifier que l’hibernation Azure fonctionne bien sur cette nouvelle VM issue du snapshot de la seconde, connectons-nous à celle-ci pour y ouvrir différents programmes.
Etape V – Test de l’hibernation :
Ouvrez une session de bureau à distance via Azure Bastion en utilisant les identifiants administrateurs renseignés lors de la création de la seconde VM :
Attendez que la session Windows 11 s’ouvre avec le compte local :
Cliquez sur Suivant :
Cliquez sur Accepter :
Ouvrez une ou plusieurs applications sans enregistrer les travails effectués :
De retour sur la page Azure de votre troisième machine virtuelle, puis cliquez sur Hiberner :
Confirmez votre choix en cliquant sur Oui :
Encore une fois, la session ouverte via Bastion se retrouve automatiquement déconnectée, cliquez sur Fermer :
La notification suivante vous indique alors le succès de l’opération d’hibernation :
Le statut apparaît alors sur votre troisième machine virtuelle, cliquez-ici afin de la redémarrer :
Attendez environ 1 minute que la VM soit redémarrée :
Réouvrez à nouveau une session via Azure Bastion avec les mêmes identifiants :
Constatez là encore la réapparition des applications ouvertes et les travails non enregistrés :
Conclusion
La fonction d’hibernation marque ici une vraie différence dans la gestion offline de machine virtuelle. Plus pratique que l’arrêt complet dans bon nombre de situations, l’hibernation pourrait devenir la norme en s’intégrant de la manière native dans beaucoup de service Azure, comme les groupe de machines virtuelles identiques ou encore Azure Virtual Desktop.
Cela faisait longtemps que je voulais tester une machine virtuelle disposant d’une carte graphique puissante dans un environnement Azure Virtual Desktop. Il arrive que des besoins graphiques soient présents dans certains projets. Il est actuellement impossible de les satisfaire via Windows 365, mais Azure Virtual Desktop ne dit pas son dernier mot ! Presque tous les types de machine virtuelles Azure y sont disponibles.
Commençons par quelques rappels qui ne nous feront pas de mal 😎
L’idée est la même que pour une machine virtuelle classique, avec en plus une ou plusieurs cartes graphiques adaptées selon les besoins des utilisateurs :
Les tailles de machine virtuelle au GPU optimisé sont des machines virtuelles spécialisées disponibles avec des GPU uniques, multiples ou fractionnaires. Ces tailles sont conçues pour des charges de travail de visualisation, mais également de calcul et d’affichage graphique intensifs.
Pour nous aider, Microsoft a mis à disposition une page de documentation dédiée aux VMs GPU sous Azure Virtual Desktop. Plusieurs sujets y sont justement abordés :
Comme bien souvent, Dean Cefola de l’Azure Academy a lui-aussi posté il y a quelques années une vidéo YouTube parlant de ce sujet très intéressant :
Afin de se faire une meilleure idée sur le rendu possible de l’ensemble GPU + AVD, je vous propose de réaliser un petit exercice combinant ces 2 services. Nous allons détailler toutes les étapes nécessaires de la configuration aux tests de plusieurs applications :
Pour réaliser cet exercice sur les VMs GPU via Azure Virtual Desktop, il vous faudra disposer de :
Un tenant Microsoft
Une souscription Azure valide
Note importante : pour effectuer des tests GPU sur Azure, une souscription MSDN ne sera pas acceptée.
En effet, les machines virtuelles graphiques sont restreintes et le Support de Microsoft n’a pas souhaité octroyer des quotas sur ma souscription Azure MSDN. J’ai donc utilisé une souscription Azure payante pour réaliser ces tests GPU.
Etape I – Préparation de l’environnement Azure :
Comme indiqué précédemment, les souscriptions Azure sont restreintes dans la création de machines virtuelles dédiées aux besoins graphiques :
Cela est permet d’éviter un engorgement inutile de ces VMs très spécifiques, mais également les mauvaises surprises au moment de recevoir la facture Azure.
Il est donc nécessaire de relever le quota d’une des séries de VMs GPU pour réaliser cet exercice. Dans mon cas, je suis parti sur la série Standard NCASv3_T4.
Pour cela, rendez-vous dans le portail Azure, puis sur la page des quotas de votre souscription Azure, puis effectuez une demande d’élévation des quotas, en cliquant à droite sur la série de VMs de votre choix :
8 vCPU me semblent suffisant pour créer une ou deux petites machines virtuelles GPU.
Attendez environ une minute que votre demande soit acceptée par l’IA de Microsoft :
Nous voici maintenant autorisé à créer 2 VMs GPU Standard NC4as T4 v3, équipées chacune d’un processeur AMD EPYC 7V12 et d’une carte graphique NVIDIA Tesla T4.
Continuons maintenant à créer une première VM GPU dans le but de préparer une image modèle pour Azure Virtual Desktop.
Etape II – Création d’une machine virtuelle GPU :
Pour cela, rechercher le service Machines virtuelles sur le portail Azure :
Cliquez-ici pour commencer la création de la machine virtuelle :
Renseignez les informations de base relatives à votre VM en choisissant bien une image OS Windows 11 en version 22H2 :
Choisissez la taille Standard NC4as T4 v3, puis définissez un compte administrateur local :
Bloquer les ports entrants, car nous utiliserons le service Azure Bastion, cochez la case concernant le droit de licence, puis cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Créez un nouveau réseau virtuel, retirez l’adresse IP publique, puis cliquez sur Suivant :
Décochez l’extinction automatique de la machine virtuelle, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création des ressources de la VM GPU, puis attendez environ 5 minutes :
Une fois le déploiement terminé, cliquez-ici pour consulter votre machine virtuelle GPU :
Cliquez-ici pour déclencher le déploiement du service Azure Bastion :
Attendez environ 5 minutes qu’Azure Bastion soit déployé pour continuer cet exercice :
Une fois qu’Azure Bastion a fini son déploiement, ouvrez une session de bureau à distance via ce dernier en utilisant les identifiants administrateurs renseignés lors de la création de la VM GPU :
Cliquez sur Suivant :
Cliquez sur Accepter :
La machine virtuelle est enfin déployée et accessible. Intéressons-nous maintenant à la configuration additionnelle que requière une VM GPU.
Etape III – Post-configuration GPU 1/2 :
Pour que la carte graphique soit pleinement exploitée, il est nécessaire d’installer un pilote adapté. Microsoft en parle juste ici.
Par un clic droit sur le menu Démarrer, ouvrez le Gestionnaire des périphériques Windows :
Notez l’absence de la carte NVIDIA Tesla T4, et la présence d’une carte graphique encore non identifiée dans les autres périphériques :
Comme Microsoft le propose dans sa documentation, Azure propose d’installer un pilote adapté à votre carte graphique au travers d’une extension à votre machine virtuelle :
Les extensions de machines virtuelles Azure sont de petites applications qui permettent de configurer les machines virtuelles après leur déploiement.
Dans notre cas, l’extension de pilote GPU NVIDIA pour Windows installera les pilotes GPU appropriés à votre NVIDIA Tesla T4.
Pour installer cette extension, rendez-vous sur le menu suivant de votre machine virtuelle, puis cliquez sur Ajouter :
Choisissez dans la liste le pilote GPU dédié aux cartes graphiques NVIDIA :
Lancez la validation Azure :
Une fois la validation Azure réussie, lancez l’installation de l’extension :
Attendez environ 1 minute :
Une fois le déploiement terminé, cliquez-ici :
Constatez le bon provisionnement de votre extension GPU NVIDIA :
Retrouvez cette même information sur la page de votre machine virtuelle Azure :
Retournez sur le Gestionnaire des périphériques Windows afin de constater le changement :
Notez malgré tout la date assez ancienne du pilote de la carte graphique NVIDIA :
Ouvrez également le Gestionnaire des tâches Windows afin de constater l’absence de métriques dédiés au GPU :
Il semble assez évident que l’extension disponible sur Azure n’est pas des plus à jour pour poursuivre, et risque peut-être même de dégrader les performances lors des tests.
Aussi je vous propose de lire la page suivante de la documentation Microsoft et concernant l’installation des pilotes sur les machines virtuelles graphiques hébergées sur Azure :
Sur cette page, il en ressort que la carte graphique Standard NC4as T4 v3 supporte elle-aussi le pilote GRID en version 16.1, compatible Windows 11 et facilement téléchargeable par ce lien.
Une fois téléchargé sur votre VM GPU, ouvrez l’installeur du pilote GRID :
Confirmez le dossier de décompression au niveau local :
Attendez environ 30 secondes que la décompression se termine :
L’installation du Pilote GRID démarre alors automatiquement :
Après une rapide vérification système, cliquez sur Accepter et Continuer :
Cliquez sur Suivant :
Constatez la suppression des pilotes NVIDIA apportée par l’extension de machine virtuelle :
Attendez environ 2 minutes que l’installation se termine :
Une fois l’installation terminée avec succès, cliquez sur Fermer :
Rouvrez le Gestionnaire des tâches Windows afin de constater l’apparition d’une section GPU :
Rouvrez le Gestionnaire des périphériques Windows afin de constater le changement de la date du pilote de la carte graphique NVIDIA Tesla T4 :
L’utilitaire nvidia-smi nous confirme les mêmes informations :
La première partie de la configuration GPU est enfin terminée. D’autres optimisations déjà rappelées sur cette page Microsoft doivent également être mise en place pour une bonne prise en charge de la session de bureau à distance.
Etape IV – Installation d’applications de test :
Afin d’effectuer quelques tests graphiques, je vous propose d’installer 2 applications sur votre image AVD :
AutoCAD : logiciel de conception assistée par ordinateur en 2D et 3D payant, mais disponible en version d’essai juste ici. La création d’un compte est nécessaire chez AutoDesk pour obtenir cette version d’essai.
FurMark : logiciel de stress-test léger mais très intensif pour les cartes graphiques et les GPU sur la plate-forme Windows.
Installation d’AutoCAD :
Une fois sur la page web des essais, cliquez-ici pour définir une utilisation personnelle d’AutoCAD, puis cliquez sur Suivant :
Choisissez la version d’AutoCAD souhaitée, puis cliquez sur Suivant :
Ouvrez l’installateur web téléchargé par le ce lien :
Attendez environ 30 secondes que la décompression se termine :
L’installation d’AutoCAD s’ouvre alors :
Définissez le dossier d’installation d’AutoCAD, puis cliquez sur Installation :
Attendez environ 10 minutes le temps qu’AutoCAD s’installe sur votre machine virtuelle :
Une fois l’installation correctement terminée, cliquez-ici pour fermer le programme :
Installation de FurMark :
Continuer avec l’installation de FurMark, disponible sur cette page :
Cliquez-ici pour lancer l’installation de FurMark :
Une fois l’installation terminée, décochez les cases, puis cliquez sur Terminer :
Notre image AVD est maintenant terminée. Il ne nous reste plus qu’à Généraliser notre machine virtuelle afin de pouvoir l’importer dans Azure Virtual Desktop.
Etape V – Préparation du modèle AVD :
Pour cela, lancez la commande Sysprep :
Ouvrez le programme Sysprep :
Configurez-le comme ceci, puis cliquez sur OK :
Attendez que Sysprep commence le travail de nettoyage :
Constatez la fermeture de la session de bureau à distance ouverte via Azure Bastion, puis cliquez sur Fermer :
Une fois la machine virtuelle en statut Arrêtée, cliquer sur Arrêter afin d’en changer le statut en Arrêtée (désallouée) :
Confirmez votre action en cliquant sur Oui :
Attendez que le traitement d’arrêt complet se termine pour que le statut de la VM GPU change :
Cliquez sur Capturer pour créer une image de votre machine virtuelle modèle :
Configurez les options de capture comme ceci :
Définissez toutes les informations relatives à la version de votre image juste ici, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création d’image de la VM :
Attendez environ 10 minutes que le traitement se termine :
Notre image Windows 11 customisée est enfin prête :
Etape VI – Déploiement de l’environnement AVD :
Continuez avec le déploiement de l’environnement Azure Virtual Desktop en utilisant là encore la barre de recherche du portail Azure :
Cliquez-ici pour commencer la création du pool d’hôtes Azure Virtual Desktop :
Définissez les options de base de votre environnement AVD, puis cliquez sur Suivant :
Ajoutez une VM GPU AVD, puis choisissez dans la liste des OS l’image créée précédemment :
Réutilisez la même taille de VM GPU que celle précédemment utilisée :
Joignez votre VM GPU AVD à Entra ID et à Intune, puis cliquez sur Suivant :
Créez un espace de travail AVD, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création des ressources puis attendez environ 10 minutes :
Une fois le déploiement d’Azure Virtual Desktop entièrement terminé, cliquez-ici pour continuer sa configuration :
Activez l’option de SSO dans les propriétés RDP, puis cliquez sur Sauvegarder :
Afin d’économiser sur la consommation Azure, ajoutez un scaling plan qui pilotera la VM GPU AVD selon les besoins de connexion :
Donnez-lui un nom, placez-le dans la même région Azure que votre pool d’hôtes AVD, puis cliquez sur Suivant :
Ajoutez un ou plusieurs plannings selon vos besoins, sachant qu’une journée de la semaine ne peut être présent que dans un seul planning
Sélectionnez les jours de la semaine correspondant à vos besoins, puis cliquez sur Suivant :
L’onglet suivant reprend le fuseau horaire du premier onglet et vous demande de renseigner les champs ci-dessous, puis de cliquer sur Suivant :
Renseignez les mêmes options que pour la phase précédente, puis cliquez sur Suivant :
Renseignez les mêmes options que pour la phase précédente, puis cliquez sur Suivant :
Renseignez les mêmes options que pour la phase précédente, puis cliquez sur Ajouter :
Ajoutez si-besoin un second calendrier pour les autres jours, puis cliquez sur Suivant :
Rattachez votre pool d’hôtes à la configuration en n’oubliant pas de cocher la case pour l’activer, puis cliquez ici pour lancer la validation Azure :
Une fois la validation Azure réussie, cliquez sur Créer pour valider la configuration :
Rajoutez les rôles RBAC suivants au niveau du groupe de ressources Azure contenant votre environnement AVD :
Permettre à Azure Virtual Desktop de pouvoir allumer et éteindre les VMs AVD
Permettre à notre utilisateur de test de voir l’espace de travail AVD
Permettre à notre utilisateur de test d’ouvrir une session Windows AVD
La suite de la configuration GPU peut s’effectuer via une configuration poussée par Intune.
Etape VII – Post-configuration GPU 2/2 :
D’autres configurations sont nécessaires sur les VM GPU AVD pour que la session Windows ouverte via le protocole RDP tire pleinement partie des performances GPU.
Dans le cas d’un Azure Virtual Desktop sous Windows 11, nous devons nous intéresser aux 2 configurations suivantes :
Nous pouvons très facilement terminer cette configuration via la mise en place d’un profil de configuration Intune. Pour cela, nous avons besoin de créer un groupe Entra ID pour affecter le profil de configuration GPU à notre VM AVD GPU :
Pour cela, ouvrez le Journal des évènements présent sous Windows :
Recherchez le journal suivant :
Journaux des applications et services
Microsoft
Windows
RemoteDesktopServices-RdpCoreCDV
Opérationnel
Constatez la bonne présence des 2 ID suivants :
162 : L’encodeur matériel AVC est bien activé
170 : La session de bureau à distance utilise bien l’encodage vidéo plein écran (AVC 444)
La fonctionnalité UDP a été déployée sur l’ensemble des environnements AVD (L’impact du protocole dans un environnement dédié au bureau à distance est majeur) :
Tout semble maintenant en ordre, il nous reste qu’à tester les performances GPU via différents outils, comme par exemple :
AutoCAD
FurMark
Clipchamp
Etape IX – Test AutoCAD :
Ayant installé AutoCAD dans l’image AVD, il ne nous reste plus qu’à trouver des exemples de fichiers. Plusieurs sites en proposent, dont le site AutoDesk :
Une fois téléchargé, l’ouverture du fichier se fait assez facilement dans AutoCAD :
La navigation 3D se fait de manière très fluide sans aucune saccade gênante :
Continuons les tests avec FurMark.
Etape X – Test FurMark :
FurMark propose toutes sortes de benchmarks. Un test de 10 minutes montre bien la montée en charge et en température de la carte NVIDIA Tesla T4 :
Finissons les tests applicatifs avec Clipchamp.
Etape XI – Test Clipchamp :
En juillet 2023, Microsoft avait été annoncé via un post sur leur blog l’intégration de Clipchamp dans la suite Microsoft 365. Voici une courte vidéo d’introduction :
Vous trouverez Clipchamp depuis la page d’accueil des applications 365 :
Je me suis amusé à construire une petite vidéo et j’ai joué avec quelques fonctionnalités très sympa, sans avoir ressenti de latence durant les manipulations :
D’autres tests seront à prévoir selon les applications voulues.
Etape XII – Arrêt automatique de la VM GPU AVD :
Depuis juillet 2023, Azure Virtual Desktop continue d’évoluer et propose l’arrêt automatique des VMs pour les environnements individuels. Un article avait déjà été écrit sur le sujet juste ici.
Cette approche est particulièrement intéressante pour les machine virtuelles avec GPU quand les besoins sont ponctuels et limités.
La mise à l’échelle automatique pour notre pool d’hôtes AVD étant déjà configuré, il nous reste qu’à fermer la session de notre utilisateur de test AVD :
Environ 15 minutes plus tard, le statut de la VM AVD GPU change bien en désalloué, ce qui confirme bien le fonctionnement complet du Start and Stop dans notre environnement de test :
Comme le journal d’activités Windows le montre, l’arrêt de la machine virtuel est bien provoqué par Azure Virtual Desktop :
Conclusion :
Je souhaite commencer ma conclusion par la satisfaction personnelle d’avoir écrit cet article, qui me trottait dans la tête depuis plusieurs mois déjà 🤣. Je suis également très content des performances obtenues et du bon ressentit utilisateur quand il s’agit de besoins graphiques exigeants.
Nul doute que cela ne remplacera pas à 100% les machines graphiques locales, mais la disponibilité, la flexibilité et la sécurité du Cloud sont de vrais arguments au moment du remplacement d’un parc de machines avec GPU.
La date 10 octobre 2023 arrive à grand pas ! Non ce n’est pas l’anniversaire d’un de vos proche que vous auriez oublié … mais bien la Fin de support programmée pour Windows Server 2012 et 2012R2. A partir de cette date, plus aucune mise à jour de sécurité ne sera disponible sans l’achat des ESUs (Extended Security Updates), ou suite à une migration vers Azure ou Azure Stack HCI (solution de Cloud hybride proposé par Microsoft). 😥😥
0
Years
:
0
Months
:
0
J
:
0
H
:
0
M
:
0
S
Pour continuer de plomber l’ambiance, voici d’ailleurs le calendrier des échéances passées et futures :
Que peut-on faire dans ce cas ?
Comme déjà indiqué dans cet article, plusieurs solutions s’offrent déjà à vous :
Migrer vers une nouvelle version Windows ou SQL plus récente.
Acheter les Mises à jour de sécurité étendue (ESUs).
Migrer les serveurs vers Azure pour recevoir gratuitement les ESUs.
Un article dédié aux ESUs devrait arriver sous peu, tandis que 2 autres concernant la migration vers Azure existent déjà :
Il nous reste donc à parler de la mise à jour de l’OS lui-même. Cela tombe bien, car Dean Cefola de l’Azure Academy vient justement de publier une vidéo traitant de ce sujet :
Important : Bien évidement, les opérations décrites dans cette vidéo et dans mon article ne concernent que la seule mise à jour de l’OS. Il est certain que tous les projets comporteront éventuellement une migration vers le Cloud, mais également d’innombrable tests de compatibilité pour les applications déjà en place.
Aussi, je vous propose dans cet article de vous intéresser aux différentes méthodes de mise à jour possibles et décrites par Dean. Voici les grandes étapes de cet exercice :
Ces étapes sont également disponibles dans l’article de Microsoft Learn :
Une mise à niveau sur place vous permet de passer d’un ancien système d’exploitation à un plus récent, tout en conservant inchangés vos paramètres, vos rôles serveur et vos données. Cet article vous explique comment faire passer vos machines virtuelles Azure à une version ultérieure de Windows Server en utilisant une mise à niveau sur place.
Pour cela, commencez par déployer une première machine virtuelle sur Azure. Rendez-vous sur le portail d’Azure, puis utilisez la barre de recherche :
Cliquez-ici pour créer votre première machine virtuelle Azure :
Renseignez les informations de base relatives à votre VM en choisissant bien une image Windows Server 2012 R2 :
Définissez un compte administrateur local, bloquer les ports entrants (nous utiliserons le service Azure Bastion), puis cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Créez un nouveau réseau virtuel, retirez l’adresse IP publique, puis cliquez sur Suivant :
Décochez l’extinction automatique de la machine virtuelle, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création des ressources de la VM, puis attendez environ 2 minutes :
Sans attendre que le déploiement soit entièrement terminé, il vous est possible, depuis le réseau virtuel Azure de déployer le service Azure Bastion :
Inutile d’attendre qu’Azure Bastion soit déployé pour continuer cet exercice :
Continuez en déployant 3 autres machines virtuelles Azure afin de pouvoir effectuer les 4 tests. Vous devriez avoir les VMs suivantes :
Windows Server 2012R2 x 3
Windows Server 2016 x 1
Notre environnement de départ est maintenant en place, nous allons pouvoir préparer nos VMs à installer la mise à jour OS Windows Server 2012.
Etape II – Sauvegarde et Préparation :
Mais avant cela, il est vivement conseillé de faire une sauvegarde. Depuis la machine virtuelle de votre choix, il est facile de faire une sauvegarde d’un disque via la fonction Snapshot.
Pour cela, recherchez le disque OS d’une VM de test, puis cliquez dessus :
Sur ce disque OS, cliquez-ici pour créer un snapshot de celui-ci :
Donnez-lui un nom et une performance, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création du snapshot de la VM, puis attendez environ 30 secondes :
Le snapshot est maintenant visible comme un élément indépendant de la machine virtuelle Azure. Nous nous en servirons plus tard dans le cadre d’une restauration vers Windows Server 2012R2 :
Comme le rappelle la documentation Microsoft, la mise à niveau sur place nécessite l’ajout d’un second disque contenant les éléments d’installation.
Depuis le portail Azure, cliquez sur Azure Cloud Shell, puis configurez-le à votre guise :
Une fois Azure Cloud Shell démarré en mode PowerShell, lancez le script ci-dessous en prenant soin de modifier si besoin le groupe de ressources et la région Azure :
#
# Customer specific parameters
# Resource group of the source VM
$resourceGroup = "vmmigrate-rg"
# Location of the source VM
$location = "WestEurope"
# Zone of the source VM, if any
$zone = ""
# Disk name for the that will be created
$diskName = "WindowsServer2022UpgradeDisk"
# Target version for the upgrade - must be either server2022Upgrade or server2019Upgrade
$sku = "server2022Upgrade"
# Common parameters
$publisher = "MicrosoftWindowsServer"
$offer = "WindowsServerUpgrade"
$managedDiskSKU = "StandardSSD_LRS"
#
# Get the latest version of the special (hidden) VM Image from the Azure Marketplace
$versions = Get-AzVMImage -PublisherName $publisher -Location $location -Offer $offer -Skus $sku | sort-object -Descending {[version] $_.Version }
$latestString = $versions[0].Version
# Get the special (hidden) VM Image from the Azure Marketplace by version - the image is used to create a disk to upgrade to the new version
$image = Get-AzVMImage -Location $location `
-PublisherName $publisher `
-Offer $offer `
-Skus $sku `
-Version $latestString
#
# Create Resource Group if it doesn't exist
#
if (-not (Get-AzResourceGroup -Name $resourceGroup -ErrorAction SilentlyContinue)) {
New-AzResourceGroup -Name $resourceGroup -Location $location
}
#
# Create Managed Disk from LUN 0
#
if ($zone){
$diskConfig = New-AzDiskConfig -SkuName $managedDiskSKU `
-CreateOption FromImage `
-Zone $zone `
-Location $location
} else {
$diskConfig = New-AzDiskConfig -SkuName $managedDiskSKU `
-CreateOption FromImage `
-Location $location
}
Set-AzDiskImageReference -Disk $diskConfig -Id $image.Id -Lun 0
New-AzDisk -ResourceGroupName $resourceGroup `
-DiskName $diskName `
-Disk $diskConfig
Note : J’ai également modifié le script de Microsoft pour créer le disque en Standard SSD et non en Standard HDD. Cela me permet d’activer la fonction de disque partagé pour pouvoir l’utiliser en simultané sur 3 VMs maximum :
Lancez le script, attendez environ 30 secondes, puis constatez le succès de déploiement de celui-ci :
Sur ce nouveau disque, activez la fonction de disque partagé afin de l’utiliser sur plusieurs VMs :
Retournez sur votre première machine virtuelle afin de l’ajouter en tant que disque de données, puis cliquez sur Appliquer :
Faites-en de même pour une seconde machine virtuelle :
Enfin, faites-en de même pour une troisième machine virtuelle :
Nos 3 premières virtuelles sous Windows Server 2012R2 sont enfin prêtes. Il ne nous reste qu’à lancez les installations de Windows Server 2022 sous différentes formes.
Etape III – Tests d’installation sur place de Windows Server 2022 :
Test A – Windows Server 2012R2 + Installation GUI :
Commençons par l’installation depuis l’interface GUI.
Pour cela, ouvrez une session à distance via le service Azure Bastion en utilisant le compte administrateur local renseigné lors de la création de la VM :
Constatez la présence du disque F, correspondant au média d’installation de Windows Server 2022 :
Ouvrez une fenêtre PowerShell et exécutez-y la commande suivante
cd "F:\Windows Server 2022\"
.\setup.exe /auto upgrade /dynamicupdate disable
Attendez environ 1 minute que l’installation se mette en route :
L’installation passe en revue la configuration de votre machine virtuelle :
Attendez encore une fois une minute environ :
Choisissez l’image de Windows Server 2022 correspondante à vos besoin, puis cliquez sur Suivant :
Attendez encore une fois une minute environ :
L’installation se poursuit en vous avertissant de redémarrages possibles :
L’utilisateur est naturellement déconnecté durant la suite du processus de mise à jour :
Cliquez sur Reconnecter et attendez environ 15 bonnes minutes que l’installation se termine :
Une fois la mise à jour entièrement terminée, la session ouverte précédemment via Azure Bastion se réouvre à nouveau :
Constatez la nouvelle version de votre Windows Server depuis Server Manager :
Constatez également la nouvelle version de votre Windows Server depuis le portail Azure :
Notre première machine virtuelle est bien mise à jour en version Windows Server 2022.
Nous allons pouvoir tester un second cas de mise à jour lancée depuis le portail Azure.
Test B – Windows Server 2012R2 + Installation via Azure Run Command :
Sur votre seconde machine virtuelle de test, rendez-vous dans le menu suivant :
Lancez la commande suivante, puis cliquez sur Exécuter :
cd "F:\Windows Server 2022\"
.\setup.exe /auto upgrade /dynamicupdate disable /imageindex 4 /quiet
Attendez environ 15 minutes, sans vous fier au statut Complet de l’écran ci-dessous :
Suivez si besoin la charge CPU de votre VM depuis la fenêtre des métriques :
Une fois la mise à jour entièrement terminée, ouvrez une session via Azure Bastion :
Constatez la nouvelle version de votre Windows Server depuis Server Manager :
Constatez également la nouvelle version de votre Windows Server depuis le portail Azure :
Notre seconde machine virtuelle est bien elle aussi mise à jour en version Windows Server 2022.
Nous allons pouvoir tester un troisième cas de mise à jour lancée depuis une extension de machine virtuelle.
Test C – Windows Server 2012R2 + Installation via Virtual Machine Extension :
Préparer localement un fichier de script PS1 avec le code suivant :
cd "F:\Windows Server 2022\"
.\setup.exe /auto upgrade /dynamicupdate disable /imageindex 4 /quiet
Sur votre troisième machine virtuelle de test, rendez-vous dans le menu suivant :
Choisissez Custom Script Extension, puis cliquez sur Suivant :
Cliquez-ici :
Choisissez le compte de stockage utilisé pour Azure Cloud Shell :
Créez un nouveau conteneur pour le stockage objet :
Nommez-le, puis cliquez sur Créer :
Téléversez votre script :
Sélectionnez votre script :
Cliquez-ici :
Attendez que le déploiement du script se termine :
Suivez si besoin son statut :
Environ 15 minutes plus tard, le statut du script est terminé :
Une fois la mise à jour entièrement terminée, ouvrez une session via Azure Bastion :
Constatez la nouvelle version de votre Windows Server depuis Server Manager :
Constatez également la nouvelle version de votre Windows Server depuis le portail Azure :
Notre troisième machine virtuelle est bien elle aussi mise à jour en version Windows Server 2022.
Nous allons pouvoir tester un dernier cas de mise à jour lancée depuis une machine virtuelle déjà sous Windows Server 2016.
Test D – Windows Server 2016 + Installation GUI :
Pour cela, ouvrez une session à distance via le service Azure Bastion en utilisant le compte administrateur local renseigné lors de la création de la VM :
Ouvrez une fenêtre PowerShell et exécutez-y la commande suivante :
cd "F:\Windows Server 2022\"
.\setup.exe /auto upgrade /dynamicupdate disable
Choisissez l’image de Windows Server 2022 correspondante à vos besoin, puis cliquez sur Suivant :
L’installation se poursuit en vous avertissant de redémarrages possibles :
Une fois la mise à jour entièrement terminée, la session ouverte précédemment via Azure Bastion se réouvre à nouveau :
Constatez la nouvelle version de votre Windows Server depuis Server Manager :
Constatez également la nouvelle version de votre Windows Server depuis le portail Azure :
Notre machine virtuelle en 2016 est correctement mise à jour en version Windows Server 2022.
Etape IV – Retrait du disque d’installation :
Une fois l’installation terminée, il ne nous reste plus qu’à retirer le disque d’installation monté sur les machines virtuelles mises à jour :
Cliquez sur Appliquer :
Attendez quelques secondes la notification Azure :
Constatez la disparition du disque F :
Etape V – Restauration de la sauvegarde :
Dans le cas d’un bug au moment de la mise à jour ou après tout autre déconvenue, il est possible de repartir du snapshot généré avant la mise à jour.
Commencez par éteindre la machine virtuelle à restaurer :
Attendez quelques secondes la notification Azure :
Depuis le snapshot, cliquez-ici pour créer un nouveau disque OS :
Nommez-le, choisissez sa taille et sa performance, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création du disque :
Retournez sur une des machines virtuelles de test, puis cliquez-ici pour intervertir les disques OS :
Choisissez le nouveau disque, puis lancez le traitement en cliquant sur OK :
Attendez quelques secondes la notification Azure :
Redémarrer la machine virtuelle restaurée :
Ouvrez une session via Azure Bastion :
Attendez la fin de chargement de session :
Constatez le retour à l’ancienne version de Windows Server depuis Server Manager :
Conclusion
Le processus de mise à jour depuis une VM déjà sur Azure vers une version plus récente de Windows Server est des plus simples. Nul doute que la mise à jour de l’OS est la partie émergée de l’iceberg. D’autres tests avant la mises à jour devront être effectués pour vérifier la bonne compatibilité des applications et des services installés.
Nombreuses sont les applications critiques et, comme souvent, les équipes IT ont besoin de remontées d’alertes ou de notifications pour résoudre les interruptions de services le plus rapidement possible quand cela se produit. Mais chaque système ou application ne peuvent à eux seul être leur propre système d’alertes. C’est ici qu’intervient Azure Monitor.
Azure Monitor est une solution de monitoring complète qui permet de collecter et d’analyser des données de télémétrie en vue d’y répondre, à partir de vos environnements cloud et locaux.
Azure Monitor collecte et agrège les données de chaque couche et composant de votre système sur plusieurs abonnements et locataires Azure et non-Azure.
Azure Monitor intègre aussi des règles d’alerte afin de prévenir les personnes concernées de données dépassants certains seuils ou lors d’évènements majeurs :
S’appuyer sur Azure Monitor pour constituer des mécanismes d’alertes, pour les environnements Cloud ou sur site, est une approche pertinente est simplifiera grandement la chaîne des actions correctives qui s’en suit.
Afin de tester les règles d’alerte d’Azure Monitor sur un cas concret, nous allons créer une machine virtuelle, dans laquelle nous configurons une petite tâche planifiée Windows.
La non-exécution périodique de la tâche planifiée Windows sera le vecteur d’alerte dans Azure Monitor :
Pour réaliser cet exercice sur les règles d’alerte d’Azure Monitor, il vous faudra disposer de :
Un tenant Microsoft
Une souscription Azure valide
La source de notre alerte sera directement configurée sur une machine virtuelle Azure.
Etape I – Déployez une machine virtuelle Azure :
Commencez par déployer une VM. Pour cela, rendez-vous sur le portail d’Azure et utilisez la barre de recherche :
Cliquez-ici pour créer votre première machine virtuelle Azure :
Renseignez les informations de base relatives à votre VM :
Définissez un compte administrateur local, puis cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Retirez l’adresse IP publique, puis cliquez sur Suivant :
Décochez l’extinction automatique de la machine virtuelle, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création des ressources puis attendez environ 3 minutes :
Une fois le déploiement terminé, cliquez-ici pour vous connecter à la VM :
Cliquez sur le bouton suivant pour déployer le service Azure Bastion :
Cliquez-ici pour configurer Azure Bastion :
Cliquez sur le bouton suivant pour déployer automatiquement le service Azure Bastion :
Attendez qu’Azure Bastion soit déployé pour continuer cet exercice.
Notre machine virtuelle est maintenant déployée et est accessible. Nous allons maintenant nous y connecter afin de configurer une tâche planifiée via le planificateur de tâches Windows.
Etape II – Configurez une tâche planifiée Windows :
Cette action basique va nous montrer comment une tâche planifiée exécutée localement va remonter des informations visibles directement depuis Azure Monitor.
Ouvrez une session à distance via le service Azure Bastion en utilisant le compte administrateur local renseigné lors de la création de la VM :
Cliquez sur Suivant pour terminer la configuration de Windows 11 :
Modifiez si besoin les options listées, puis cliquez sur Accepter :
Ouvrez le Planificateur de tâche Windows depuis le menu Démarrer :
Créez une nouvelle Tâche planifiée :
Nommez votre Tâche planifiée, cochez les cases suivantes, puis passez sur le second onglet :
Ajoutez-y un déclencheur :
Choisissez le motif de déconnexion avec un délai de 30 minutes, ou moins si besoin, puis passez sur l’onglet suivant :
Sur l’onglet des actions, ajoutez le lancement du programme Shutdown, avec les arguments suivants :
/f /s /t 0
Validez la création de la Tâche planifiée en cliquant sur OK :
Activez l’historique des tâches planifiées afin de faire remonter l’information dans les journaux d’évènements de Windows :
Vérifiez que votre nouvelle tâche planifiée est bien présente dans la liste, et est active :
Notre environnement de départ est maintenant en place. Nous pouvons vérifier que notre tâche planifiée s’exécute correctement en :
Attendant quelques minutes que la session de bureau à distance ouverte via Azure Bastion déconnecte l’utilisateur pour cause d’inactivité.
Déconnectant directement votre utilisateur de test depuis le menu Démarrer.
Dans mon cas, j’attends que Bastion fasse le travaille à ma place :
Une fois la session déconnectée, retournez sur la liste de vos machines virtuelles Azure afin de vérifier le changement de statut de celle-ci :
Démarrez votre machine virtuelle afin de vous y reconnecter par la suite :
Confirmez votre action en cliquant sur Oui :
Environ 30 secondes plus tard, la notification Azure suivante vous indique que votre VM est correctement démarrée :
Relancez votre session Windows via Azure Bastion :
Confirmez la bonne exécution de votre tâche planifiée grâce à l’information Dernier lancement :
Ouvrez également les journaux d’évènements Windows :
Parcourez l’arborescence suivante pour constater l’historisation de votre tâche planifiée :
Applications and Services Logs
Microsoft
Windows
TaskScheduler
Operational
Votre environnement de test Windows est maintenant configuré.
Pour qu’Azure Monitor vous alerte sur l’exécution (ou l’absence d’exécution) de la tâche planifiée, il est nécessaire de remonter une partie des journaux d’évènements Windows dans Azure.
Etape III – Paramétrez la remontée de journaux Windows :
Pour créer notre alerte Azure, nous devons commencer par stocker les informations liées à notre tâche planifiée Windows. Il nous faut donc les stocker, quelque part dans Azure, et les alimenter par les journaux d’évènements Windows.
Nous allons avoir donc besoin d’un espace de travail Log Analytics :
Un espace de travail Log Analytics constitue un environnement unique pour les données de journaux provenant d’Azure Monitor et d’autres services Azure, comme Microsoft Sentinel et Microsoft Defender pour le cloud. Chaque espace de travail possède son propre référentiel de données et sa propre configuration, mais peut combiner des données provenant de plusieurs services.
Le schéma ci-dessous montre de façon assez simple le fonctionnement des services Azure, piochant les données stockées dans des tables, elles-mêmes stockées dans l’espace de travail Log Analytics :
Pour cela, retournez sur le portail d’Azure et utilisez la barre de recherche :
Cliquez-ici pour créer votre premier espace de travail Log Analytics :
Renseignez les informations de base, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création de la ressource, puis attendez environ 2 minutes :
Une fois le déploiement terminé, cliquez-ici pour mettre en place la connexion avec votre VM Windows :
Dans la section des Agents, copiez le lien web pointant vers l’agent Windows en version 64 bits :
Retournez sur la session de bureau à distance de votre VM, puis collez le lien web dans Edge :
Attendez que l’agent MMA (Microsoft Monitoring Agent) se télécharge, puis cliquez-ici pour lancer son installation :
Cliquez sur Suivant :
Cliquez sur Accepter :
Cliquez sur Suivant :
Cochez la première case, puis cliquez sur Suivant :
Sur la page de votre LAW (espace de travail Log Analytics), copiez l’ID de votre espace et une des deux clefs :
Collez ces deux informations dans les champs correspondants, puis cliquez sur Suivant :
Cliquez sur Suivant :
Cliquez sur Installer :
Attendez environ une minute que l’installation se termine :
Cliquez sur Terminer pour refermer l’installation:
Attendez quelques minutes, puis rafraichissez la page suivante plusieurs fois afin de voir la bonne connection entre notre LAW et notre machine virtuelle de test :
Cliquez sur le bouton suivant afin d’ajouter le journal d’évènement relatif aux tâches planifiées Windows dans les remontées LAW :
Recherchez dans la liste le journal suivant, cochez toutes les cases, puis sauvegardez la configuration :
Microsoft-Windows-TaskScheduler/Operational
La notification Azure suivante vous indique la bonne prise en compte de ce journal :
La connexion entre notre tâche planifiée Windows et Azure est maintenant correctement établie.
Maintenant, il va nous falloir patienter plusieurs minutes afin que les prochaines remontées relatives à notre tâche planifiée de test se fassent correctement.
Etape IV – Testez votre remontée grâce à Azure KQL :
Avant de configurer l’alerte dans Azure Monitor, il est nécessaire de vérifier la présence de données dans LAW. Pour cela, nous allons utiliser le langage KQL dans notre requête sur LAW.
Le langage de requête Kusto (KQL) est un outil permettant d’explorer vos données et d’y découvrir des modèles, d’identifier des anomalies et des valeurs hors norme, de créer une modélisation statistique, etc. La requête utilise des entités de schéma organisées dans une hiérarchie similaire aux SQL : bases de données, tables et colonnes.
Il est possible de faire des requêtes KQL directement depuis votre espace de travail Log Analytics.
Recherchez la section Logs, saisissez la requête KQL suivante afin de rechercher une trace antérieure de notre tâche planifiée Windows :
Event
| where RenderedDescription contains "Deconnexion" and RenderedDescription contains "successfully finished"
Le résultat de notre requête sera bien évidement vide, puisque la configuration de l’agent MMA a été faite après le premier test de notre tâche planifiée :
Deconnexion est le nom de ma tâche planifiée.
Attendez quelques minutes que la session de bureau à distance via Azure Bastion vous déconnecte pour cause d’inactivité :
30 minutes après la déconnexion de votre utilisateur, la machine virtuelle devrait s’éteindre au niveau OS.
Et quelques minutes plus tard, la requête KQL lancée précédemment devrait donner cette fois ci un résultat :
Afin de configurer notre alerte Azure, il est nécessaire de convertir le résultat de cette requête KQL en nombre (compteur).
En effet, dans notre exemple, notre alerte Azure doit nous informer si la machine virtuelle ne s’est pas éteinte de la journée(0).
Modifiez la requête KQL précédente comme ceci :
Event
| where RenderedDescription contains "Deconnexion" and RenderedDescription contains "successfully finished"
| count
Dans mon environnement, la tâche planifiée Deconnexion a bien été exécutée déjà 2 fois :
Tout est maintenant prêt pour configurer notre alerte Azure.
Etape V – Créez votre alerte sur Azure Monitor :
Les alertes vous permettre de détecter et de résoudre des problèmes avant que les utilisateurs ne les remarquent en vous informant de manière proactive quand les données Azure Monitor indiquent qu’il peut y avoir un problème avec votre infrastructure ou votre application.
Vous pouvez définir une alerte sur n’importe quelle source de données de métrique ou de journal dans la plateforme de données Azure Monitor.
Depuis votre fenêtre de requête KQL, cliquez-ici pour créer votre Alerte Azure :
La nouvelle fenêtre reprend la requête KQL précédemment affichée :
Définissez la méthode d’analyse de cette nouvelle alerte et aussi son seuil de déclenchement, puis cliquez sur Suivant :
Sous la section des Actions, cliquez-ci dessous pour créer un groupe d’actions :
Nommez-le, puis passer sur l’onglet suivant :
Dans l’onglet Notifications, définissez un type de notification Email, nommez-le également, puis renseignez une adresse email à cibler :
Cliquez sur Créer votre groupe d’actions :
De retour sur votre règle d’alerte, cliquez sur Suivant :
Nommez votre règle d’alerte Azure, puis cliquez sur Suivant :
Une fois la validation Azure réussie, lancez la création de l’alerte :
La création d’une alerte Azure entraine l’envoi immédiat d’un premier email informant la mise en place de celle-ci aux destinataires présents dans le groupe d’actions associé :
Comme notre alerte Azure est configurée par intervalle d’analyse de 24 heures, j’ai attendu quelques peu avant de recevoir le second email suivant :
Le contenu du second email nous indique bien que la tâche planifiée sur notre machine Windows n’a pas été exécutée durant la période donnée :
En effet, l’exécution de la tâche planifiée est journalisée dans Windows, lui-même connecté à notre Log Analytics workspace. La valeur à zéro de la requête KQL indique donc l’absence de lancement, et correspond surtout le seuil d’alerte configuré.
Conclusion
Ce petit exercice nous a montré le véritable potentiel des règles d’alerte d’Azure Monitor, et l’intérêt de stocker les évènements et les métriques de nos ressources Cloud ou sur site.
Afin d’aller plus loin sur ce sujet, je ne peux que vous conseiller de regarder cette autre vidéo, dédiée aux Règles de traitement des alertes :
Il est possible depuis longtemps de se connecter à une session Windows via un compte Azure AD, que cela concerne Windows 10/11 ou Windows Server. Pour cela, une jointure à Azure AD est nécessaire et l’article l’expliquant est disponible juste ici. Seulement sur Azure, les choses sont légèrement différentes. Je trouvais donc intéressant de vous en écrire un article dessus.
En effet, lors de la création d’une machine virtuelle Azure, il est possible de la joindre directement à Azure AD au travers d’une extension. Cette jointure va vous permettre de vous y connecter en bureau à distance via votre compte Azure AD.
Mais certaines choses sont à respecter pour que cela fonctionne, et c’est pour cela que j’ai écrit cet article, car bien souvent on bloque et on tourne en rond.
Dans celui-ci, vous trouverez toutes les étapes nécessaires, de la création à la connexion à la machine virtuelle, en passant par une règle d’accès conditionnel d’Azure AD :
Modifiez les deux clefs suivantes en changeant leur valeur par zéro :
SecurityLayer
UserAuthentication
Il est possible de faire via un script PowerShell, exécutable depuis le portail Azure :
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'SecurityLayer' -Value '0' # was before 2
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'UserAuthentication' -Value '0' # was before 1
Retentez une connexion à distance depuis Azure Bastion avec votre utilisateur de test, toujours précédé de la mention AzureAD\ :
Constatez cette fois-ci la bonne ouverture de votre session Windows :
Afin de renforcer la sécurité de vos utilisateurs, la mise en place d’une connexion renforcée via MFA est indispensable. Voici d’ailleurs plus articles intéressants à ce sujet :
Bien souvent, la question se pose sur l’ouverture de session Windows avec un compte Azure AD protégé par une MFA. Pour cela, nous allons tester l’impact de l’accès conditionnel sur notre utilisateur
Etape III – Test avec accès conditionnel MFA :
Pour cela, rendez-vous à la page d’Azure AD suivante afin d’y créer une règle d’accès conditionnel pour notre utilisateur de test :
Ajoutez votre utilisateur de test dans le public cible :
Dans un premier temps, intégrez l’ensemble des applications cloud dans cette police d’accès conditionnel :
Autorisez l’accès sous la condition de réussir le challenge MFA, activez la police puis sauvegardez la :
Avant de tester la solution sur l’ouverture de session Windows, il est nécessaire de configurer la MFA pour notre utilisateur de test.
Comme la police d’accès conditionnel est très récente, il est préférable d’attendre environ 5 minutes que celle-ci soit correctement appliquée pour notre utilisateur.
Rendez-vous en navigation privée sur la page office.com, puis authentifiez-vous :
Comme on pouvait s’y attendre, il est nécessaire de remplir les informations MFA dès à présent.
Choisissez la méthode MFA qui vous arrange, puis configurez-là :
Fermez le navigateur privé, puis réouvrez-en un afin de vérifier que le challenge MFA est bien présent et correctement configuré :
Retournez sur le portail Azure, rouvrez une session Windows avec les mêmes identifiants que lors du test précédent :
Constatez la présence de ce message bloquant provenant du challenge MFA :
Et cela malgré l’indication des succès dans le log des authentifications d’Azure AD de notre utilisateur de test :
Afin de contourner le problème lié à la MFA sur le compte Azure AD, retournez dans la police d’accès conditionnel créée précédemment afin de lui y ajouter l’exclusion suivante, puis sauvegardez :
Retendez encore une fois d’ouvrir une session Windows avec les mêmes identifiants que lors du test précédent :
Constatez cette fois-ci le succès et l’absence de blocage au moment de l’ouverture de session.
Un rapide whoami en ligne de commande nous confirme bien la connexion au compte Azure AD :
Conclusion
Finalement, les opérations nécessaires à la connexion à la VM via Azure AD ne sont pas très compliquées. Notez ici qu’il s’agit d’un simple test et que la grande majorité d’environnement de production nécessiteront des mesures de sécurité supplémentaires.
Azure Virtual Desktop est souvent associé aux environnements mutualisés. Mais on oublie souvent qu’AVD propose également à des environnements individuels, comme peut aussi le faire Windows 365. Comme toujours, les produits estampillés Azure apportent de la flexibilité dans la configuration et des optimisations possibles. Par exemple, des machines virtuelles équipées de puissantes cartes graphiques.
Aujourd’hui, Azure Virtual Desktop continue d’évoluer et propose maintenant l’arrêt automatique des VMs pour les environnements individuels.
En effet, il est déjà possible depuis un certains de temps faire automatiquement démarrer la machine virtuelle AVD d’utilisateur quand celui-ci s’y connecte. Cela s’appelle le Start on connect et j’en avait déjà parlé juste ici. Bien pratique et facile à configurer, cette fonction avait pour défaut de ne jamais arrêter la VM quand l’utilisateur n’en avait plus besoin.
Rappelons-le : une machine virtuelle éteinte au niveau OS continue de coûter de l’argent car des ressources Azure lui sont toujours allouées.
Des parades existent déjà depuis quelques temps déjà, mais elles nécessitent bien souvent une configuration annexe :
J’avais d’ailleurs écrit un article sur ce sujet. Mais depuis, les choses se compliquent car certaines fonctionnalités des comptes Azure Automation vont bientôt être dépréciées…
Bref, je suis bien content que Microsoft ait rajouté cette fonctionnalité d’arrêt automatique des VMs dans Azure Virtual Desktop.
Qu’est-ce que la mise à l’échelle automatique ?
La mise à l’échelle automatique vous permet d’effectuer un scale-up ou un scale-down de vos hôtes de session de machines virtuelles dans un pool d’hôtes pour optimiser les coûts de déploiement.
La mise à l’échelle automatique, ou autoscaling, est déjà disponible pour les environnements AVD mutualisés. Un autre article en parle juste ici.
Comme indiqué dans le titre, la grande nouveauté concerne les environnements AVD individuels. La documentation Microsoft en parle déjà : la mise à l’échelle automatique pour les pools d’hôtes individuels est actuellement en préversion.
Voici donc un petit exercice pour tester cette fonctionnalité :
Pour réaliser cet exercice sur Azure Virtual Desktop, il vous faudra disposer de :
Un tenant Microsoft
Une souscription Azure valide
Etape I – Déploiement de l’environnement AVD :
Pour déployer un environnement AVD, commencez par déployer un réseau virtuel Azure. Pour cela, rendez-vous dans le portail d’Azure et utilisez la barre de recherche :
Renseignez tous les champs, puis lancez la validation Azure :
Une fois la validation réussie, lancez la création de votre réseau virtuel :
Attendez environ une minute que le déploiement se termine :
Utilisez encore une fois la barre de recherche Azure pour créer votre environnement AVD :
Cliquez-ici pour créer un nouvel environnement AVD :
Renseignez tous les champs en prenant soin de choisir un type d’environnement individuel :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Renseignez les champs liés aux machines virtuelles AVD de votre environnement :
Choisissez la taille et le nombre de VMs AVD, ainsi que le réseau virtuel créé précédemment :
Dans notre environnement, une jointure des VMs à Azure Active Directory suffira. N’oubliez pas de joindre également vos VMs à Intune pour terminer cet exercice, puis cliquez sur Suivant :
Renseignez les champs pour créer un espace de travail AVD, puis lancez la validation Azure :
Une fois la validation Azure réussie, lancez la création des ressources puis attendez environ 10 minutes :
Une fois le déploiement terminé, cliquez-ici pour terminer la configuration de votre AVD :
Cochez l’option pour activer le SSO sur Azure Virtual Desktop. Cela évite de devoir s’authentifier deux fois pour arriver sur le bureau de la VM AVD :
Afin de pouvoir tester notre environnement AVD, il est nécessaire de rajouter des rôles à nos utilisateurs de test :
Desktop Virtualization User
Virtual Machine User Login
Enfin, mon environnement AVD de test nécessite d’assigner des utilisateurs aux VMs AVD. Pour cela, rendez-vous sur cet écran pour les assigner manuellement :
Comme je dispose de 2 VMs dans mon environnement AVD, j’ai assigné à chacune d’entre-elles un utilisateur de test :
Vérifiez que les machines virtuelles sont bien présentes et disponibles :
Ouvrez le client Remote Desktop, ou installez-le depuis ce lien si cela n’est pas encore le cas :
Utilisez la fonction suivante pour faire apparaître les machines AVD :
Vous pouvez répéter cette opération avec votre second utilisateur de test :
Cliquez sur l’icône de bureau à distance :
Authentifiez-vous une seconde fois pour activer la fonction SSO :
Autorisez-les connections de bureau à distance à partir de l’identité Azure AD de votre utilisateur de test :
Attendez que le bureau à distance Windows 11 s’ouvre :
Une fois la session AVD ouverte, fermez cette dernière en utilisant la déconnexion habituelle de Windows :
Votre environnement AVD est prêt et fonctionnel. Notre objectif est maintenant d’ajouter la fonction d’allumage et d’extinction automatique des VMs.
Etape II – Configuration de l’allumage et de l’extinction automatique :
Pour cela, nous devons rajouter un nouveau rôle Azure RBAC pour permettre à Azure Virtual Desktop (ou anciennement Windows Virtual Desktop) de pouvoir allumer et éteindre les VMs AVD :
Ajoutez le rôle RBAC suivant au niveau du groupe de ressources Azure contenant votre environnement AVD :
Retournez dans le menu Azure Virtual Desktop afin d’ajouter le scaling plan qui pilotera les VMs individuelles selon les besoins de connexion, puis cliquez sur Créer :
Donnez-lui un nom, placez-le dans la même région Azure que votre pool d’hôtes AVD, puis cliquez sur Suivant :
Ajoutez un ou plusieurs plannings selon vos besoins, sachant qu’une journée de la semaine ne peut être présent que dans un seul planning :
Sélectionnez les jours de la semaine correspondant à vos besoins, puis cliquez sur Suivant :
L’onglet suivant reprend le fuseau horaire du premier onglet et vous demande de renseigner les champs ci-dessous, puis de cliquer sur Suivant :
Heure de début : heure correspondant au début de la phase.
Démarrage de la VM : permet à l’utilisateur de pouvoir démarrer une VM éteinte pendant la phase. Cette option prend le pas sur la configuration renseignée dans le pool d’hôtes.
VMs à démarrer : propose de démarrer automatiquement des VMs si nécessaire dès le début de la phase, ou pas.
Paramètres de déconnexion : permet d’effectuer ou non une action après un temps donné.
Paramètres de fermeture de session : permet d’effectuer ou non une action après un temps donné.
Renseignez les mêmes options que pour la phase précédente, puis cliquez sur Suivant :
Renseignez les mêmes options que pour la phase précédente, puis cliquez sur Suivant :
Renseignez les mêmes options que pour la phase précédente, puis cliquez sur Ajouter :
Cliquez sur Suivant pour continuer :
Rattachez votre pool d’hôtes à la configuration en n’oubliant pas de cocher la case pour l’activer, puis cliquez ici pour lancer la validation Azure :
Une fois la validation Azure réussie, cliquez sur Créer pour valider la configuration :
Attendez quelques minutes que la configuration soit déployée :
Votre environnement individuel AVD est enfin géré par un planning de démarrage et d’arrêt automatique.
Nous allons maintenant effectuer différents tests pour voir le comportement d’Azure Virtual Desktop d’un point de vue utilisateur.
Etape III – Test de l’allumage et de l’extinction automatique :
Dans mon environnement de démonstration AVD, les machines virtuelles individuelles sont bien arrêtées.
Test A – Fermeture de la session utilisateur en Phase 1 :
A 9h22, j’ouvre un navigateur web afin de me rendre sur la page de connexion AVD. Une fois authentifié avec un utilisateur de test, j’ouvre une session de bureau à distance :
Comme la machine virtuelle affectée à cet utilisateur est arrêtée, Azure Virtual Desktop la démarre et ce message s’affiche :
Le statut de la machine virtuelle change bien dans Azure :
Une fois la machine démarrée, le message d’attente change également :
Peu après, le bureau virtuel Windows apparaît bien. Je décide donc d’effectuer une fermeture de session Windows par le menu Démarrer :
Environ 15 minutes plus tard, la machine virtuelle retrouve bien son précédent état :
Le premier test est concluant. Effectuons maintenant un second test en ne fermant pas la session AVD, mais en utilisant la croix pour simuler une déconnexion :
Test B – Déconnexion utilisateur en Phase 2 :
J’ouvre à nouveau une session de bureau à distance :
Comme la machine virtuelle affectée s’était précédemment arrêtée, Azure Virtual Desktop est obligé de la redémarrer à nouveau :
Le statut de la machine virtuelle rechange bien une nouvelle fois dans Azure :
Peu après, le bureau virtuel Windows apparaît bien. Je décide donc déconnexion de la session par la croix, en haut de la fenêtre AVD :
La session est bien marquée comme déconnectée dans l’écran de contrôle du pool d’hôtes AVD :
A 10h56, la VM est déjà éteinte depuis quelques temps :
Cette information est confirmée par le journal d’audit de la machine virtuelle :
Les fonctions de déconnexion de l’utilisateur et de fermeture de session sont bien prises en compte dans le processus d’arrêt des machines virtuelles par Azure Virtual Desktop.
Prenons maintenant le temps de vérifier le respect des paramétrages renseignés dans la configuration.
Test C – Fermeture de la session utilisateur en Phase 3 :
A 11h01, j’ouvre à nouvelle fois une session Windows :
Encore une fois, Azure Virtual Desktop est obligé de redémarrer la machine virtuelle de l’utilisateur :
Le statut de la machine virtuelle rechange bien une nouvelle fois dans Azure :
Je décide donc d’effectuer à nouveau une fermeture de session Windows par le menu Démarrer :
A 11h25, soit exactement 20 minutes après la fermeture de session, la machine virtuelle AVD change de statut pour s’éteindre :
Cela confirme bien le paramétrage de temps renseigné dans cette phase :
Je décide de continuer mon test en vérifiant mon raisonnement en phase 4, dans laquelle j’ai configuré un arrêt de la VM seulement 5 minutes après la fermeture ou déconnexion de la session.
Test D – Fermeture de la session utilisateur en Phase 4 :
A 12h01, j’ouvre à nouvelle fois une session Windows :
Encore une fois, Azure Virtual Desktop est obligé de redémarrer la machine virtuelle de l’utilisateur :
Le statut de la machine virtuelle rechange bien une nouvelle fois dans Azure :
Je décide donc d’effectuer à nouveau une fermeture de session Windows par le menu Démarrer :
A 12h08, soit exactement 5 minutes après la fermeture de session, la machine virtuelle AVD change de statut pour s’éteindre à nouveau :
Cela confirme bien le respect du paramétrage selon la phase dans laquelle l’utilisateur se trouve :
Le paramétrage de démarrage et d’arrêt des machines virtuelles individuelles AVD fonctionne bien.
Afin d’aller plus loin dans le test, je décide d’y intégrer une session de déconnexion des sessions inactives, passé un certain temps.
Pour cela, je vais utiliser Intune pour déployer une police de configuration Windows sur les sessions de bureau à distances inactives.
Etape IV – Configuration log off Windows via Intune :
Afin de déployer une configuration Intune, démarrez les machines virtuelles AVD via la fonction suivante :
Sur la page d’Azure AD, créez un nouveau groupe et ajoutez-y les machines virtuelles AVD :
Rendez-vous dans la console Intune afin de créer un nouveau profil de configuration Windows comme ceci :
Choisissez le type de profil suivant, puis cliquez sur Créer :
Nommez votre profil de configuration, puis cliquez sur Suivant :
A droite, recherchez l’option suivante afin de l’ajouter et de la configurer sur la partie gauche de l’écran, puis cliquez sur Suivant :
Les Tags ne sont pas utilisés dans notre test, cliquez sur Suivant :
Ajoutez le groupe précédemment créé et contenant les machines virtuelles AVD, puis cliquez sur Suivant :
Vérifiez une dernière fois les options de votre profil de configuration, puis cliquez sur Créer :
Attendez environ 15-30 minutes que le profil de configuration soit bien déployée sur vos VMs AVD :
Ma configuration Intune et maintenant en place. Maintenant, nous allons pouvoir tester la combinaison des deux configurations.
Test E – Combinaison AVD + Intune :
Rouvrez une nouvelle fois une session AVD :
Comme la machine virtuelle AVD est déjà démarrée, la session s’ouvre bien plus rapidement :
Environ 15 minutes plus tard et sans avoir rien fait, un premier message d’avertissement apparaît sur la session AVD m’indiquant que la session sera déconnecté dans environ 2 minutes :
Environ 2 minutes plus tard et n’ayant toujours rien touché, le message suivant apparaît :
Là encore, la session est bien marquée comme déconnectée dans l’écran de contrôle du pool d’hôtes AVD :
Environ 5 minutes après la déconnexion de la session, la machine virtuelle AVD change encore de statut pour s’éteindre une nouvelle fois :
Cette dernière démonstration montre bien la combinaison habille entre la nouvelle fonctionnalité AVD et la configuration Windows installée via une police de configuration Intune.
Conclusion :
Comme toujours, les nouveautés sur Azure Virtual Desktop font plaisir. Elles sont pratiques et vous ferons gagner du temps dans la configuration et dans la mise en place.
Voici d’ailleurs quelques une des dernières nouveautés AVD que j’ai pu tester récemment :
Dans la même veine que la gestion des mots de passe, les cycles de mises à jour Cloud ou sur site incombent aux équipes IT de façon régulière. Azure continue d’automatiser les choses depuis de nombreuses années, et les mises à jour des VMs en fait également partie. Avec Azure Update Management Center v2, Microsoft pourrait bien y parvenir.
Comme beaucoup de services prénommés Center et récemment créés par Microsoft, ces derniers apportent de l’unification, de la simplification et de l’automatisation de traitements impactant une ou plusieurs ressources Azure.
Le centre de gestion des mises à jour (préversion) est un service unifié qui permet de gérer et de régir les mises à jour pour toutes vos machines. Vous pouvez surveiller la conformité des mises à jour Windows et Linux sur vos déploiements dans Azure, localement et sur les autres plateformes cloud à partir d’un seul tableau de bord. De plus, vous pouvez utiliser le centre de gestion des mises à jour (préversion) pour effectuer des mises à jour en temps réel ou les planifier dans une fenêtre de maintenance définie.
En deux mots, les principales caractéristiques d’Azure Update Management Center sont :
Qu’il ne nécessite pas de déploiements annexes (Compte Automation, Log Analytics workspace, …)
Qu’il est disponible gratuitement
Qu’il apporte une vue synthétique sur le périmètre des mises à jour OS (VM Azure, VMSS, Azure Arc, …)
D’un seul coup d’œil, vous serez capables de visualiser les points suivants :
Les machines virtuelles présentes et leur statut
Les mises à jour à venir via des assessments automatiques
L’historique des mises jour installées ou échouées
Les paramètres des fenêtres de mises à jour
Voici une copie d’écran de la vue d‘Azure Update Management Center :
L’outil est encore en préversion à l’heure où ces lignes sont écrites. Mais cela ne vous empêchera pas de commencer à l’utiliser sur ou une plusieurs de vos VMs Azure.
Cette vidéo en français est très intéressante afin de vous faire une première idée :
Comment fonctionne Azure Update Management Center ?
Cette fois, Microsoft a conçu les choses au plus simple, le système repose uniquement sur deux étapes :
L’assessment qui scan et détermine les mises à jour disponibles. Il est configurable via un Police Azure ou via une configuration VM par VM
La méthode d’orchestration qui appliquera les mises à jour selon une méthode précise et convenu VM par VM ou globalement
Quelles sont les méthodes d’orchestration disponibles ?
Microsoft les détaille juste ici, dont voici l’extrait :
Planifications gérées par le client (préversion) : permet de planifier la mise à jour corrective sur vos machines virtuelles existantes. La nouvelle option d’orchestration des correctifs active les deux propriétés de machine virtuelle : Mode patch = orchestré par Azure et BypassPlatformSafetyChecksOnUserSchedule = TRUE en votre nom après avoir reçu votre consentement.
Déploiement sécurisé géré par Azure : pour un groupe de machines virtuelles faisant l’objet d’une mise à jour, la plateforme Azure orchestre les mises à jour. La machine virtuelle est définie sur la mise à jour corrective automatique de l’invité de machine virtuelle. (c’est-à-dire), le mode correctif est AutomaticByPlatform.
Automatique par le système d’exploitation : la machine est automatiquement mise à jour par le système d’exploitation.
Image par défaut : pour les machines Linux, la configuration de mise à jour corrective par défaut est utilisée.
Manuel : vous contrôlez l’application de correctifs sur une machine en appliquant manuellement des correctifs au sein de la machine. Dans ce mode, les mises à jour automatiques sont désactivées pour le système d’exploitation Windows.
Afin de vous faire une meilleure idée de la solution, je vous propose un petit exercice sur plusieurs machines virtuelles Azure :
Quels sont les prérequis pour tester Azure Update Management Center ?
Pour réaliser cet exercice sur Azure Update Management Center, il vous faudra disposer d’une souscription Azure valide.
Dans notre exercice, nous allons créer plusieurs machines virtuelles, utilisant différents OS, versions et méthodes d’orchestration des mises à jour. Ces essais vont nous permettre d’en savoir un peu plus sur la gestion des mises à jour via Azure Update Management Center.
Commençons par créer nos machines virtuelles de test sure Azure.
Etape I – Création des machines virtuelles Azure :
Pour cela, rendez-vous dans le portail d’Azure et utilisez la barre de recherche :
Cliquez-ici pour créer la première machine virtuelle :
Sur ce premier onglet, renseignez toutes les informations de base, puis choisissez l’image OS suivante – Windows Server 2022 Datacenter: Azure Edition x64 Gen2 :
Renseignez la taille et les identifiants du compte administrateur, puis cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Retirez la fonction d’arrêt automatique de la VM :
Modifiez la configuration d’orchestration comme ceci, puis lancez la validation Azure :
Une fois la validation réussie, lancez la création des ressources Azure :
Attendez environ deux minutes, puis cliquez-ici pour créer une seconde machine virtuelle :
Conservez les mêmes options à l’exception de l’OS – Ubuntu Server 20.04 LTS – x64 Gen2 :
Gardez les options de sécurité SSH de base, puis cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Retirez la fonction d’arrêt automatique, modifiez la configuration d’orchestration comme ceci, puis lancez la validation Azure :
Une fois la validation réussie, lancez la création des ressources Azure :
Validez le téléchargement de la paire de clefs SSH :
Attendez environ deux minutes, puis cliquez-ici pour créer une troisième machine virtuelle :
Conservez les mêmes options à l’exception de l’OS – Windows Server 2022 Datacenter: Azure Edition Hotpach -x64 Gen2 :
Renseignez la taille et les identifiants du compet administrateur, puis cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Aucune modification n’est à faire sur cet onglet, cliquez sur Suivant :
Retirez la fonction d’arrêt automatique, modifiez la configuration d’orchestration comme ceci, puis lancez la validation Azure :
Une fois la validation réussie, lancez la création des ressources Azure :
Attendez que le déploiement de la 3ème machine virtuelle se termine :
Nos machines virtuelles de test sont maintenant en place. Nous allons pouvoir tester différentes fonctions d’Azure Update Management Center. La première tâche va consister à mettre en place l’assessment périodique.
Etape II – Configuration de l’assessment périodique :
Pour cela, utilisez la barre de recherche, puis sélectionnez Azure Update Management Center :
Vérifiez la présence des 3 machines virtuelles créées précédemment ainsi que l’absence de données sur les mises à jour disponibles :
Afin de récolter ces données, nous allons mettre en place l’assessment périodique via une police d’Azure. Pour cela cliquez sur le lien ci-dessous :
Choisissez Azure Policy, puis cliquez sur OK :
Sélectionnez cette définition de police dans la liste ci-dessous :
Cliquez-ici afin d’assigner la définition à votre souscription Azure :
Choisissez votre souscription Azure, et si besoin le groupe de ressources, puis lancez la validation Azure :
Lancez l’assignation de la police Azure :
Vérifiez la bonne assignation à votre souscription Azure dans le menu suivant :
Malgré que l’assessment dû à la police Azure n’ait pas encore remonté d’informations, des mises à jour sont déjà marquées comme disponibles sur la machine virtuelle sous orchestration Azure Managed – Safe Deployment :
Quelques minutes et un rafraichissement plus tard, l’assessment périodique commence à remonter des mises à jour dans le tableau ci-dessous :
Encore un rafraichissement plus tard, celui-ci continu son chemin et remonte les mises à jour disponibles sur nos différentes VMs :
La gestion des mises à jour de la VM Linux a été configurée comme étant en Image par défaut (il s’agit donc de la méthode standard pour l’OS Linux). Vous retrouvez d’ailleurs la méthode d’orchtestration choisie directement dans le template de la VM :
Avant de nous focaliser sur la partie mise à jour, nous allons nous intéresser à la partie assessment.
Nous pouvons aussi configurer l’assessment périodique des mises à jour depuis Azure Update Management Center sans passer par une police Azure :
Activez l’assessment périodique sur votre VM Linux, puis sauvegardez :
Cette information modifie la variable suivante dans le template de votre VM :
La valeur change alors à Yes comme ceci :
Pour accélérer les choses, il est aussi possible de lancer une vérification des mises à jour :
Cliquez-ici pour démarrer le traitement :
Une notification apparaît alors :
Et le statut de la VM change également :
Eventuellement, des mises à jour apparaissent :
La gestion de la vérification des mises à jour Windows ou Linux est maintenant plus clair. Nous allons maintenant prendre le temps de mieux comprendre et gérer les méthodes pour orchestrer l’installation des mises à jour.
Etape III – Configuration de la méthode de mise à jour :
Comme annoncé plus haut, plusieurs gestions de l’orchestration des mises à jour sont possibles. La méthode retenue est présente dans le template de la machine virtuelle.
Celle-ci néanmoins modifiable, en modifiant le template ou via Azure Update Management Center.
Pour cela, sélectionnez les deux VMs ci-dessous, puis cliquez sur Mise à jour des paramètres :
Confirmez votre choix en cliquant ici :
Pour les deux VMs, choisissez la méthode d’orchestration des mises à jour suivante : Planifications gérées par le client (préversion), puis cliquer sur Sauvegarder :
Cliquez-ici pour mettre en place de votre fenêtre des mises à jour :
Définissez toute la configuration de base :
Choisissez la fréquence de la fenêtre selon vos propres règles :
Une fois la validation réussie, lancez la création de votre configuration de maintenance :
Attendez environ une minute :
Il ne reste qu’à attendre la prochaine fenêtre pour constater l’installation des mises à jour :
L’installation des mises à jour est programmée pour deux VMs sur trois. Nous allons maintenant voir les différentes possibilités d’orchestration.
Etape IV – Méthodes d’installation des mises à jour :
En attendant que la fenêtre des mises à jour arrive, une autre méthode consiste à installer manuellement les mises à jour sur la VM.
Pour cela, sélectionnez la troisième VM puis cliquez sur Mise à jour ponctuelle :
Confirmez votre choix en cliquant ici :
Cliquez sur Suivant :
Choisissez la ou les mises à jour installer, puis cliquez sur Suivant :
Définissez la méthode de redémarrage souhaitée :
Lancez l’installation des mises à jour :
Une notification apparaît alors :
Et le statut de la VM change également :
La fenêtre d’historique montre le détail des mises à jour installées :
Repartons un moment sur les VMs configurées dans une fenêtre de mise à jour :
Quelques minutes après le début de la fenêtre, seule la VM Linux a installées toutes ses mises à jour.
Cliquez-ici pour savoir pourquoi la machine virtuelle Windows n’en a pas fait autant :
Observez la classification des mises à jour non installées :
Retournez sur la configuration de la fenêtre afin de voir si ces classifications en font partie :
Et non ^^.
Lancez également une mise à jour ponctuelle pour cette VM :
Confirmez votre choix en cliquant ici :
Cliquez sur Suivant :
Choisissez la ou les mises à jour installer, puis cliquez sur Suivant :
Définissez la méthode de redémarrage souhaitée :
Lancez l’installation des mises à jour :
Le statut de la VM change également :
Et voilà, toutes vos VMs sont maintenant à jour !
Enfin, la page de Vue d’ensemble permet d’avoir une vision assez rapide des VMs à jour de la répartition des méthodes de mise à jour :
Quelques anecdotes :
Afin d’en savoir un peu plus sur le fonctionnement Azure Update Management Center toujours en préversion, j’ai créé et laissé tourner plusieurs machines virtuelles :
La VM w-update-autop2 avec orchestration Azure Managed – Safe Deployment et hotpatch n’a toujours pas été mise à jour.
Je n’ai pas vu de mises à jour dans l’historique. Aussi je me demande à quel moment Azure décrète que l’installation est saine et qu’il peut procéder.
La VM l-updatep2 avec sous Azure Policy concernant l’assessment est toujours marquée à No concernant l’assessment périodique :
Conclusion :
En conclusion, la nouvelle version Azure Update Management Center me semble très prometteuse et permettra de visualiser d’un seul coup d’œil toutes les mises à jour OS disponibles pour les VMs Azure, mais aussi des machines virtuelles connectées via Azure Arc.
Le Cloud est présent dans beaucoup d’infrastructures IT. Utilisé à 100% ou seulement de manière partielle pour certains services, il offre une flexibilité inégalée, aussi bien dans son financement que dans les besoins techniques disponibles et les évolutions possibles.
Mais alors, si le cloud est merveilleux, pourquoi les principaux fournisseurs de cloud cherchent aussi à proposer des solutions dites hybrides (on-premise + cloud) ?
Peut-être qu’il en faut pour tous les goûts 😁?
D’abord, faisons un rapides tour de plusieurs concepts avant tester ensemble une solution hybride via un exercice que propose justement Microsoft.
Qu’est-ce que le cloud hybride ?
Le cloud hybride combine généralement deux types de cloud : public et privé. Par privé est souvent entendu local.
Un cloud hybride est un peu comme une voiture hybride. Les voitures hybrides combinent deux technologies totalement distinctes : un moteur qui brûle de l’essence et un autre qui consomme de l’énergie électrique. Chaque technologie fonctionne de manière totalement différente, et chacune a ses avantages et ses inconvénients. Cependant, lorsque les deux sont combinées efficacement, le résultat est une voiture plus performante que la plupart des voitures uniquement à essence et pourtant plus puissante que la plupart des voitures entièrement électriques. De même, les cloud hybrides combinent les avantages de plusieurs types d’environnements cloud pour une efficacité et une fonctionnalité accrue.
Azure Stack HCI est une solution développée par Microsoft pour justement aider les entreprises à exploiter les avantages d’un environnement hybride, expliqué précédemment, via les interfaces connues d’Azure et de Windows Admin Center.
Il s’agit d’une solution d’infrastructure hyperconvergée basée sur les technologies Azure de Microsoft. Elle permet de :
d’intégrer de façon transparente leur environnement
De créer une expérience hybride cohérente à Azure.
D’apporter toujours plus de scalabilité et flexibilité.
De conserver un haut niveau de sécurité et de conformité.
De profiter d’une passerelle de modernisation de l’infrastructure existante.
Existe-t-il du matériel certifié Azure Stack HCI ?
Microsoft met à disposition un site web dédié à Azure Stack HCI dont voici le lien. Vous pourrez y planifier votre solution en fonction des charges de travail prévues :
Peut-on tester Azure Stack HCI sans forcément acheter du matériel ?
Cela est possible, grâce à … Azure ! En effet, les fournisseurs de cloud autorisent pratiquement toutes les créations de ressources, donc on peut simuler un Azure Stack HCI dans le cloud de Microsoft.
Cette approche permet donc de ne pas dépenser de grandes sommes d’argent pour tester la solution Azure Stack HCI avant de se laisser convaincre. Pour cela je vous laisse lire les différentes étapes ci-dessous pour y parvenir :
La version originale de l’exercice conçu par Microsoft est également disponible en anglais sur leur page GitHub juste ici.
Rappel des prérequis :
Pour réaliser cet exercice sur Azure Stack HCI, il vous faudra disposer de :
Un tenant Microsoft
Une souscription Azure valide
Afin de tester Azure Stack HCI, nous allons avoir besoin créer un environnement virtuel, dans lequel nous allons simuler la présence de nœuds HCI, mais aussi de Windows Admin Center.
Dans Azure, il est en effet possible d’imbriquer de la virtualisation. Cela demande malgré tout quelques exigences, comme le SKU de la machine virtuelle Hyper-V, mais aussi sa génération.
Important : Attention à ne pas laisser tourner l’environnement de démonstration Azure Stack HCI tourner un peu trop longtemps. Beaucoup de ressources Azure sont créées et le compteur des € défile assez vite 🤑.
Etape I – Déploiement de l’environnement virtuel sur Azure :
Commencez par cliquez sur le lien ci-dessous afin déployer les ressources nécessaires sur votre souscription Azure :
Renseignez les champs suivants, puis lancez la validation Azure :
Une fois la validation Azure réussie, cliquez-ici pour commencer la création :
Le déploiement dure environ 30 minutes, attendez que celui-ci se termine, puis cliquez-ici :
Constatez la présence de nombreuses ressources Azure créées pour cette démonstration, puis cliquez sur la machine virtuelle présente, appelée AzSHCIHost001 :
Rendez-vous dans le menu Bastion, puis cliquez-ici pour en déployer un :
Attendez environ 5 minutes que la création d’Azure Bastion se termine :
Modifier la règle NSG suivante créée dans le template Microsoft afin de débloquer l’accès RDP à votre machine Hyper-V :
Retournez sur votre machine virtuelle Hyper-V, puis lancez une session Bastion avec les identifiants renseignés lors de la création du template :
Sur la session RDP ouverte via Azure Bastion, cliquez-ici pour modifier le script de déploiement d’Azure Stack HCI :
Rendez-vous sur la ligne suivante pour modifier la ligne comme ceci :
AVANT :
Set-ExecutionPolicy Bypass -Scope Process -Force; iex ((New-Object System.Net.WebClient).DownloadString('https://chocolatey.org/install.ps1'))
Vous avez aussi la possibilité de récupérer celui-ci en version corrigée sur mon GitHub
Lancez le script, puis faites preuve d’un petit peu de patience, car celui dure environ … 2 heures 🤣
Si aucune erreur ne s’est manifestée durant le traitement, vous devriez apercevoir le message de succès suivant :
Si le script ne s’est pas correctement terminé, la commande PowerShell suivante permet d’effacer les ressources crées dans Hyper-V afin de pouvoir recommencer le lancement du script :
.\New-AzSHCISandbox.ps1 -Delete $true
Un tour rapide dans la console Hyper-V montre l’apparition de 3 machines virtuelles :
AzSHOST1 : nœud Azure Stack HCI 1
AzSHOST2 : nœud Azure Stack HCI 2
AzSMGMT : Console de management pour Windows Admin Center
Sur le bureau de votre machine virtuelle Hyper-V, une icône de type RDP vient de faire son apparition :
Notre environnement fictif de départ est maintenant terminé. Nous avons besoin d’enregistrer notre cluster Azure Stack HCI sur le portail Azure afin de commencer la facturation mais aussi tester le déploiement de services depuis le portail Azure.
Etape II – Enregistrement du Cluster Azure Stack HCI sur Azure :
Pour cela, cliquez sur l’icône RDP pour ouvrir une session sur la VM WAC puis renseignez les identifiants suivants (mot de passe : Password01) :
Notez la présence d’un domaine Active Directory nommé Contoso. Attendez quelques minutes que la session se charge entièrement :
Sur le bureau, ouvrez le raccourci menant à la page suivante et ayant un icône Google Chrome :
https://admincenter.contoso.com/
Renseignez les identifiants suivants (mot de passe : Password01) :
Attendez quelques secondes que se charge la console de Windows Admin Center :
Fermez la fenêtre de notification de Windows Admin Center :
Attendez environ 10 minutes que tous les modules présents dans Windows Admin Center soient bien mis à jour :
Une fois les mises à jour effectuées, les notifications suivantes devraient apparaître dans WAC :
Afin de pouvoir piloter votre Cluster de serveurs Azure Stack HCI, il est nécessaire de le rajouter dans la console WAC pour terminer la configuration.
Cliquez-ici pour ajouter votre cluster Azure Stack HCI à WAC :
Saisissez le nom AzStackCluster, attendez quelques secondes que WAC retrouve ce dernier, puis cliquez sur Ajouter :
Une fois l’ajout réussi, vérifiez la liste des connexions existantes avec WAC, puis cliquez sur votre cluster de serveurs :
Rendez-vous dans le menu appelé SDN Infrastructure :
Renseignez les identifiants suivants (mot de passe : Password01), puis cochez la case suivante :
Renseignez le contrôleur de réseau suivant, puis cliquez sur Continuer :
Constatez l’apparition des nouveaux menus suivants sous la section Réseau :
Afin de pouvoir utiliser pleinement le portail Azure pour piloter notre cluster Azure Stack HCI, il est nécessaire de passer par quelques étapes d’enregistrement.
Pour cela, rendez-vous toujours depuis WAC dans la section Azure Arc, puis cliquez sur le bouton suivant :
Cliquez-ici pour démarrer l’enregistrement de notre cluster sur Azure :
Utilisez le code Azure pour valider l’authentification Azure AD avec un compte disposant de suffisamment de droits sur la souscription Azure :
Une fois l’authentification Azure AD réussie, vous devriez recevoir l’information suivante, puis cliquez sur Authentifier :
Acceptez la demande de permission de Windows Admin Center avec le consentement global de l’organisation :
Vérifiez la disparition du message sur la page Azure Arc de votre WAC :
Avant d’aller plus loin, retournez sur votre portail Azure afin d’activer le fournisseur de ressources suivant sur votre souscription Azure :
Attendez environ deux minutes que le statut soit correctement changé sur le fournisseur de ressources :
Retournez sur Windows Admin Center, puis cliquez-ici :
Cliquez-ici pour démarrer le processus avec la connexion Azure Arc précédemment créée :
Renseignez les informations qui vous conviennent, puis cliquez sur Enregistrer :
La notification suivante devrait alors apparaître dans WAC :
Attendez environ 5 minutes pour confirmer le bon enregistrement :
Retournez sur le portail Azure afin de constater la présence de votre Azure Stack HCI, puis cliquez dessus :
Naviguez dans les différents menus pour mieux comprendre les informations remontées sur Azure.
Nous allons avoir maintenant besoin d’un autre composant, appelé Azure Resource Bridge. Si l’on souhaite gérer et déployer des ressources sur son cluster depuis Azure, celui-ci est indispensable.
Etape III – Configuration d’Azure Ressource Bridge :
Le pont de ressources Arc est une machine virtuelle empaquetée qui héberge un cluster Kubernetes de gestion nécessitant une gestion minimale des utilisateurs. La machine virtuelle est déployée sur l’infrastructure locale et une ressource ARM du pont de ressources Arc est créée dans Azure. Les deux ressources sont ensuite connectées, ce qui permet la gestion et l’utilisation en libre-service des machines virtuelles à partir d’Azure
Ensuite, cliquez ici pour installer un second module, appelé Azure Resource Bridge :
Attention : certaines étapes sont à faire sur les 2 nœudsprésents dans votre cluster Azure Stack HCI
Cliquez sur le lien suivant pour ouvrir le guide d’installation d’Arc Resource Bridge :
Retournez sur votre serveur Hyper-V, puis dans la console Hyper-V, cliquez sur le premier nœud de votre cluster Azure Stack HCI afin d’ouvrir une session :
Renseignez les identifiants suivants (mot de passe : Password01) :
Effectuez le choix 15 pour ouvrir une console PowerShell :
Profitez-en pour ouvrir Notepad depuis PowerShell afin de faciliter les copier / coller :
Saisissez la commande suivante pour installer les premiers modules nécessaires :
Fermez la fenêtre PowerShell afin de revenir au menu principal, puis entrez le choix 13 pour redémarrer votre premier nœud:
Retournez sur votre serveur Hyper-V, puis dans la console Hyper-V, cliquez sur le second nœud de votre cluster Azure Stack HCI afin d’ouvrir une session :
Renseignez les identifiants suivants (mot de passe : Password01) :
Effectuez le choix 15 pour ouvrir une console PowerShell :
Profitez-en pour également ouvrir Notepad depuis PowerShell afin de faciliter les copier / coller :
Saisissez la commande suivante pour installer les même premiers modules nécessaires :
Fermez la fenêtre PowerShell afin de revenir au menu principal, puis entrez le choix 13 pour redémarrer votre second nœud:
Retournez sur votre serveur Hyper-V, puis dans la console Hyper-V, cliquez à nouveau sur le premier nœud de votre cluster Azure Stack HCI afin d’ouvrir une session :
Renseignez à nouveau les identifiants suivants (mot de passe : Password01) :
Effectuez à nouveau le choix 15 pour rouvrir une console PowerShell :
Saisissez la commande suivante pour installer le module CLI d’Azure, uniquement nécessaire sur le premier nœud :
Fermez la fenêtre PowerShell afin de revenir au menu principal, puis entrez le choix 13 pour redémarrer à nouveau votre premier nœud :
Retournez sur votre serveur Hyper-V, puis dans la console Hyper-V, cliquez à nouveau sur le premier nœud de votre cluster Azure Stack HCI afin d’ouvrir une session :
Renseignez à nouveau les identifiants suivants (mot de passe : Password01) :
Effectuez à nouveau le choix 15 pour rouvrir une console PowerShell :
Rouvrez à nouveau Notepad depuis PowerShell afin de faciliter les copier / coller.
Préparer les variables suivantes puis lancez-les :
Retirer les extensions du module PowerShell Az si jamais elles existaient déjà :
az extension remove --name arcappliance
az extension remove --name k8s-extension
az extension remove --name customlocation
az extension remove --name azurestackhci
Installer à nouveaux ces mêmes extensions Az :
az extension add --upgrade --name arcappliance
az extension add --upgrade --name k8s-extension
az extension add --upgrade --name customlocation
az extension add --upgrade --name azurestackhci
Renseignez les informations sur votre environnement Azure :
Vérifiez que le statut soit bien sur Succeded, retentez quelques minutes plus tard si nécessaire :
az k8s-extension show --cluster-type appliances --cluster-name $resource_name --resource-group $resource_group --name hci-vmoperator --out table --query '[provisioningState]'
Terminez par la commande de création d’un emplacement personnalisé sur Azure. Ce dernier va nous être utile pour indiquer lors de la création de ressources depuis le portail Azure que celle-ci doit-être créée sur Azure Stack HCI :
az customlocation create --resource-group $resource_group --name paris --cluster-extension-ids "/subscriptions/$subscription/resourceGroups/$resource_group/providers/Microsoft.ResourceConnector/appliances/$resource_name/providers/Microsoft.KubernetesConfiguration/extensions/hci-vmoperator" --namespace hci-vmoperator --host-resource-id "/subscriptions/$subscription/resourceGroups/$resource_group/providers/Microsoft.ResourceConnector/appliances/$resource_name" --location $location
Constatez la bonne création de ce dernier depuis le portail Azure :
Retournez sur la page Azure de votre cluster Azure Stack HCI afin de constater l’avancement des prérequis :
Azure Resource Bridge est maintenant correctement installé. Nous allons enfin pouvoir créer notre machine virtuelle depuis le portail Azure, et déployée directement sur un des 2 nœuds de notre cluster.
Etape IV – Création de la VM sur le Stack :
Cliquez comme ceci pour transférer vers votre cluster une image de VM provenant de la marketplace Microsoft d’Azure :
Renseignez les champs comme ceci, puis lancez la validation :
Une fois la validation réussie, cliquez-ici pour commencer le transfert de données de l’image de Windows Server vers votre cluster :
Ce processus est assez long, comptez environ une bonne heure avant que le transfert de l’image ne se termine :
En cas d’erreur lors du transfert, relancez celui-ci afin d’avoir une image complète sur votre cluster :
De retour sur votre premier nœud de votre cluster Azure Stack HCI, lancez la commande suivante pour initialiser le réseau virtuel :
Retournez sur le portail Azure afin de constater sa bonne création :
Cliquez ensuite ici pour créer votre première VM sur votre Stack HCI :
Renseignez les informations de base :
Définissez sa taille et son identifiant local, puis cliquez sur Suivant :
Ajoutez si besoin des disques de données, puis cliquez sur Suivant :
Ajoutez une carte réseau :
Utilisez le réseau virtuel créé précédemment :
Cliquez-ici pour lancer la validation :
Une fois la validation Azure réussie, cliquez sur Créer :
Le déploiement des ressources est en cours sur votre cluster, comptez environ 30 minutes pour que celui-ci se termine :
Au bout de quelques minutes Il est aussi possible de suivre la création de la VM depuis la console WAC :
Une fois la création de la machine virtuelle terminée, cliquez-ici pour y accéder :
Prenez le temps de vérifier la configuration de celle-ci :
Retournez sur la console WAC afin d’initialiser une connection directe :
Renseignez les identifiant votre compte admin chez Contoso (mot de passe : Password01) :
Cliquez-ici pour déverrouiller la session distante :
Renseignez les identifiants indiqués lors de la création de la VM depuis le portail Azure :
Vous voilà connecté sur votre VM hébergée sur un stack HCI virtuel, hosté sur un serveur Hyper-V, lui-même hosté sur Azure 😁😎💪 :
Conclusion
Après quelques jours de tests, l’intégration des outils Azure et WAC pour piloter le Cluster un véritable tour de force de Microsoft ! Nul doute que certains projets ou infrastructures ne peuvent être hébergées sur le Cloud pour un grand nombre de raisons. C’est pour cela que Microsoft et les autres fournisseurs de Cloud se doivent de proposer des solutions « à mi-chemin ».
Il faudra enfin voir ce que ça donne dans la version publique généralisée car encore beaucoup de scripts à faire dont beaucoup encore en préversion.
