Intensivkurs AZURE-ADMIN - Level 4
Azure für Administratoren
Aufbau Azure Hybrid - Azure AD Tenant - Management Groups - Subscriptions - ARM - RBAC - VMs - Virtual Network - PowerShell AZ - Azure MonitorSollte dieser Kurs aufgrund von (zukünftigen) behördlichen Einschränkungen bezüglich COVID-19 nicht mehr vor Ort stattfinden dürfen, behalten wir uns vor diesen automatisch auf LIVE CLASS umzustellen.
Mit diesem 4-Tage Intensivkurs wollen wir erreichen, dass Teilnehmer danach in der Lage sind, eine funktionierende Azure Hybrid Umgebung aufzubauen. Ausgehend von einem bestehenden On-Premises AD (1) wird ein Azure AD (2) Tenant per Azure Portal angelegt, Management Groups und Subscriptions konfiguriert. Die Objekte Users, Groups und Computer von (1) werden per AAD Connect zu Azure AD (2) synchronisiert, damit Azure Anwendungen (Intune, Office 365, Exchange Online, TEAMS etc.) und Azure AD Features (Conditional-Access etc.) genutzt werden können. Die Authentifizierung (User Sign-In) in dieser Hybrid Umgebung erfolgt via ADFS (Federated) oder PTA (Pass-Through Authentication), wobei die Option PHS (Password-Hash Sync), abhängig von Szenarien aktiviert oder nicht aktiviert wird.
Es geht in diesem projektorientierten Kurs nicht nur darum in Azure AD einige VMs und VNet anzulegen, sondern auch dafür zu sorgen, dass u.a. der SMB-Zugriff auf
die On-Premises und Azure Files Ressourcen weiterhin transparent funktioniert. Denn nur dann ist eine fliessende Migration von Daten möglich. Der Zugriff auf eine Azure File Share erfolgt entweder über
SMB (445) oder HTTPS (443), wobei das für den Filezugriff mächtigere SMB-Protokoll die Kerberos bzw. NTLM-Authentifizierung erfordert, damit per Benutzeridentität auf eine NTFS-geschützte
Datei zugegriffen werden kann. Azure AD unterstützt aber keine Kerberos und NTLM, sondern nur OAuth2 und OpenID.
1) Damit es dennoch mit Kerberos für SMB möglich ist, muss man bis Ende Februar 2020 das kostenpflichtige Azure AD Directory Service (3) bedienen
In diesem Kurs "Azure für Administratoren" werden wir in unserem AAD Verzeichnis AzureHybridDE.OnMicrosoft.com eine Instanz aadds nutzen. Im Kurs "Azure Hybrid" gehen wir noch tiefer in dieses Thema
hinein. Neben den NTFS-Berechtigung wird die Share-Berechtigung für eine Azure File Share benötigt, die über die Azure RBAC Roles konfiguriert werden.
2) Seit Ende Februar 2020 ist es nun endlich möglich auch ohne AAD DS den SMB-Zugriff auf eine Azure File Share von einer On-Premises AD (1) Joined Windows Maschine oder von einer Azure AD (2) Joined VM aus mit der AD/AAD Benutzeridentität zuzugreifen. Der kostenpflichtige AAD DS wird dann nicht mehr benötigt.
Nach der Einrichtung von VPN-Site-To-Site Gateway können sowohl von einer Azure VM als auch On-Premises VM via SMB per Benutzeridentität auf eine Azure File Share zugegriffen werden.
Der HTTPS Zugriff auf eine Azure File Share und somit auf eine Azure File Storage setzt auf die REST API und erfordert den Azure Storage Access Token (Full Access) oder einen delegierten SAS (Share Access Signature).
Letzendlich müssen die On-Premises Daten irgendwie in die Azure File Shares gelangen. Eine Methode davon ist Azure File Sync. Azure File Sync sorgt dafür, dass On-Premises Daten "hoch" zu einer Azure File Share und auch zu anderen File Servern synchronisiert werden:
File Server 1 (On-Premises) > Server Endpoint 1 > Sync Group A >
File Server 2 (On-Premises) > Server Endpoint 2 > Sync Group A > Cloud Endpoint (A) > Azure File Share (A)
File Server 3 (Azure VM) > Server Endpoint 3 > Sync Group A >
Azure Storage bietet neben dem Typ FILE weitere Datentypen BLOB, QUEUE und TABLE, die wir im Kurs Azure Hybrid näher eingehen.
Natürlich müssen wir vor den SMB-Übungen schon mit dem ARM (Azure Resource Manager), mit der RBAC Roles etc.. bereits VNET und VMs anlegen. Wir werden am Anfang graphisch mit dem Azure Portal arbeiten, später aber immer mehr uns mehr mit Azure AZ-PowerShell arbeiten. Das Anlegen von VM werden wir mit ARM Resource Template automatisieren. Dabei lernen wir wie ARM Resource wie eine VM in JSON Template exportiert, nach Änderung wieder importiert werden kann.
Nach dem Kurs sind die Teilnehmer in der Lage, selbst ein Tenant in Azure zu erstellen, Struktur für Management Groups aufzubauen und Subscriptions zu tätigen. Sie sind in der Lage VNET (Virtual Network) mit Subnetzen und VMs aufzubauen, zu verwalten und mit Azure Monitor zu überwachen. Im Kurs setzen wir nicht nur VPN Site-To-Site, sondern auch Azure Bastion (optional) und NSG (Network Security Group) ein, um die Azure VMs durch Private IPs und RDP Tunneling zu schützen, denn VMs mit Public IPs werden direkt per RDP over SSL verwaltet, sie sind nicht sicher genug.
Die Verwaltung des Tenants, der Subscriptions, der Azure Resourcen und Resource Groups werden mit Azure Portal und PowerShell AZ durchgeführt. Auch wird Azure RBAC oft genutzt, um die passende Rollen für die unterschiedliche Aufgaben zu konfigurieren. Beispielsweise muss ein On-Premises AD User , der in Azure AD repliziert ist, mindestens die RBA Role "Virtual Machine User Login" bekommen um überhaupt an einer Azure AD Vm anmelden zu können. RBAC vergibt nicht nur solche Privilegien, entspricht "Lokal Anmelden zulassen" (Allow Localy Logon), sondern u.a. auch Berechtigung wie z.b. die SMB Share Berechtigung.
Ein sehr wichtiges Thema ist die Azure Cost, welches die höchste Priorität bekommen sollte, wenn man mit Azure arbeitet. Es sind viele versteckte Kosten. Man kann z.B. eine VM nach der Nutzung herunter fahren um Kosten zu minimieren, bleibt dennoch die Azure Storage Kosten aufrecht, da die VHDX weiterhin die Blob Storage belegt.
Optional: Die HTTPS-Verbindung zum Azure Portal und die SSO-Authentifizierung (Signl-Sign On) ist zusätzlich geschützt durch MFA (Multi-Factor
Authentication) mit Windows Hello for Business (Gesichtserkennung und TPM 2.0).
---
Hier sind sind wichtigsten Komponenten dieses Kurses:
- Azure Tenant und Subscriptions - MS365 E3 vs. E5
- Azure AD
- Azure Portal
- Azure PowerShell AZ
- Azure Resource Manager (ARM), Managed Group, Resource Group, Resources
- Azure Resource Manager Templates (JSON)
- Azure RBAC
- Azure AD DS Joined VM
- Azure VNET (Virtual Network), Subnet, VNET-Peering
- VM Extensions
- Load Balancer
- Azure VMs, High-Performance Features RDMA, SR-IOV
- Azure Storage: Container (Blob), Files, Queue, Table
- Azure Files, File Shares & Azure File Sync
- Zugriffe auf Azure Files und On-Premises Files via SMB (445) und HTTPS (443)
- Azure Internet of Things (IoT)
- Azure Monitor Logs (Logs Analytics)
Weitere detailliertere Beschreibungen folgen.
Im Kurs arbeitet jeder Teilnehmer "live" mit einem unserer Tenants in Azure via Gbit-Glasfaserleitungen.
Empfehlung: besuchen Sie unseren 4-Tage Azure Hybrid Kurs um noch mehr Wissen für eine Enterprise Umgebung anzueignen.
ZIELGRUPPE
Das Seminar richtet an Azure Administratoren, die eine "pure" und evtl. später eine Hybrid Azure Umgebung aufbauen wollen.
NIVEAU
Level 4 — ziemlich anspruchsvoll
DAUER
4 Tage
ORT
NT Systems Schulungszentrum Böblingen (Karte)
TERMINE
|
|
★ Teilnehmerzahl wegen Corona Kontaktbeschränkung reduziert!
PREIS
3.750,- € zzgl. Mwst.
Kursbesuch nur gegen Vorkasse möglich!
MINDEST-TEILNEHMERZAHL
Das Seminar findet ab einer Mindestzahl von drei Teilnehmern garantiert statt.
Am ersten Tag: | 09:00 - 17:00 Uhr | |
An Folgetagen: | 08:30 - 17:00 Uhr | |
Am letzten Tag: | 08:30 - 13:00 Uhr |
ZERTIFIKAT
Nach erfolgreicher Teilnahme erhalten die Kursteilnehmer ein Zertifikat von NT Systems.
Azure AD Multi-Tenants Infrastructure - Standardverzeichnis (Root Tenant)
Azure Hybrid – Azure File Sync - Identity-Based SMB Zugriff auf Azure File Share
Azure Resource Scope Levels
Microsoft 365 Admin Center
Ausschnitt der Kursmodule
- Planung der Azure Infrastruktur
- Subscriptions
- Tenants
- Managements Groups
- Lizenzen
Anlegen einer untergeordneten Management Group
- Azure Resource Management (ARM)
- Azure RBAC und AAD Roles
- Azure AD Gruppen erstellen
- Anlegen und Zuweisung der Built-In Roles, Custom Roles
Hierarchie von Azure Scope (Quelle: Microsoft)
Scope „/“ verweist auf die Root Management Group
Berechtigung auf Management Group zuweisen
Hierarchie von Management Groups und Subscriptions unter Root (/)
- Aufbau von Azure Hybrid Umgebung
- AAD Connect
- Authentication Federated (ADFS) oder Cloud (PTA oder PHS)
Optionen von AAD Connect - Device / Group Write Back - Password Hash Sync
Auswahl der Authentication Methode - ADFS oder PTA (Pass-Through)
- Erstellen einer virtuellen Netzwerkinfrastruktur in Azure
- Anlegen von mehreren virtuellen Netzwerken
- Erstellen von Subnetzen
- Konfiguration von Peering
- Service Endpoint vs. Private Endpoint
Virtual Network
Peering
Service Endpoint
- Erstellen und verwalten von VMs in Azure
- Network Security Group (NSG) erstellen für VMs
- VMs erstellen & konfigurieren
- VMs Extension (PowerShell, DSC, Monitoring Agents, usw...)
- System-assigned Managed Identity
- Extension Azure AD Join
- Anmelden an einer Azure VM mit Azure User Identity
File Server VM in Azure
Network Security Group in Azure
VM Extension AADLogin
Roles Azure VM
- Erweiterung von On-Premises AD durch Site-to-Site VPN
- Aufbau eines Site-To-Site VPN
- Zugriff auf Azure VMs durch den VPN-Tunnel
- Zugriff auf Ressourcen (Storage Account, Azure VM, usw...)
Site-to-Site VPN Gateway
- Azure Storage
- Create Azure Storage (Blob & File)
- Zugriff auf Azure Storage (SAK, SAS & SMB)
- Netzwerkzugriff über Service Endpoint und Private Endpoint
Create storage account
Create Shared Access Signature (SAS)
- Azure File Hybrid
- Berechtigung NTFS und SMB-Share durch Azure RBAC Roles
- Create Private Endpoint
- Zugriff via SMB mit Kerberos Authentication auf Azure Files
Storage File Data SMB Share Roles
Azure File Share via SMB von einer VM
IP Address Private Endpoint
SPN Azure Storage Account
- Azure Ressources und Resource Templates
- Ressource Groups
- Storage Accounts
- Automation Accounts (Runbooks)
- Azure Resource Manager Templates
- Deploy Azure Resoure Templates
JSON ARM Template
- Azure Automation Runbooks
- Anlegen eines Azure Automation Accounts für Runbooks
- Erstellen eines Runbooks (PowerShell & PowerShell Workflow)
PowerShell Runbook
PowerShell Runbook job Status
- Azure Automation Desired State Configuration (DSC)
- Anlegen eines Azure Automation Accounts für DSC
- Erstellen einer DSC Konfiguration
- Registieren eines DSC Clients via VM Extension
DSC Nodes
- Azure Policies
- Azure Policies Scope
- Policy Defenitions (PD) vs. Initiative Defenitions (ID)
- Policy assignment
Policy Scope
Policy Initiative
Policy JSON
- Azure Monitor
- Azure Scope und Platform Logs
- Log Analytics Workspace
- Azure Directory Logs, Azure Activity Log, Azure Resource Logs
- Application Insights
- Azure Solutions
- Manage Azure Monitor, Query und Alerts
- Cost Management & Limits
Weiterleitung der Resource Logs zum Log Analytics Workspace
Query nach Azure Bastion Events im Log Analytics Workspace
- Azure Cost Management
- Überwachung der Kosten: Subscriptions, Resource Group etc.
- Budget Begrenzung
- Kostenwarnung
- E-Mail-Benachrichtigung
Kostenwarnung bei Überschreitung von 50% Budget
E-Mail Warnungsbenachrichtigung
- Azure Internet of Things (IoT)
- Hinzufügen eines IoT Geräts in Azrue
- Erstellen eines IoT Hubs in Azure
- Erstellen eines Azure Stream Bus
- Einrichten einer Logic App
Hinzufügen eines IoT Gerät
Logic App Designer
- Vertrauen Sie unserer Kompetenz -