In diesem 5-Tage Kurs werden alle notwendigen Schritte vom Aufbau eines Azure Tenants bis hin zur Einbindung der „On-Premises“ Ressourcen in die Azure Welt behandelt.

Nachdem ein Azure Tenant erstellt wurde, wird mindestens eine Subscription benötigt, um Azure Ressourcen erstellen zu können. Wenn ein Unternehmen mehrere Subscriptions besitzt, ist es sehr zu empfehlen eine Management Group Struktur anzulegen. Management Groups sind logische Einheiten, denen die Subscriptions zugeordnet werden können. Außerdem können einer Management Group Berechtigungen und Policies zugewiesen werden, um den Zugriff und die Verwaltung von Ressourcen zu steuern und zu kontrollieren. Zusätzlich kann eine ordentliche Management Group Struktur auch für eine Kostenübersicht genutzt werden.

In diesem Kurs wird daher der Aufbau dieser Strukturen praktiziert. Anschließend werden wir die Zuweisung von Berechtigungen auf Subscriptions, Management Groups, Resource Groups und Ressourcen erläutern und anwenden.

Durch Berechtigungen lässt sich zwar das „Wer“ abdecken, nicht aber das „Wie“. Hierfür können die Azure Policies verwendet werden. Mithilfe der Azure Policies ist es möglich für die Erstellung von Ressourcen Rahmenbedingungen festzulegen. Beispielsweise kann konfiguriert werden, dass innerhalb einer Management Group die Ressourcen nur in einer bestimmten Azure Region erstellt werden dürfen. Das Thema Azure Policies wird in diesem Kurs ebenfalls unterrichtet. Die Azure Policies können auch wunderbar für die Automatisierung verwendet werden.

Beim Aufbau eines Tenants ist es besonders wichtig eine virtuelle Netzwerkinfrastruktur zu planen und zu realisieren. Diese dient später dazu, Azure Ressourcen miteinander zu verbinden. Für eine Hybrid-Stellung muss natürlich auch die Netzwerkverbindung zum On-Premises Datacenter in die Planung mit einfließen. Die Verbindung zwischen Azure und dem On-Premises Netz wird über ein VPN Site-to-Site Gateway oder einer Express Route hergestellt.

Wenn eine Verbindung zwischen dem On-Premises und dem Azure Netzwerk hergestellt wurde, muss auch die Namesauflösung (DNS) konfiguriert werden. Damit Benutzer auf Azure Ressourcen über den privaten DNS Namen zugreifen können, kann der DNS Private Resolver eingerichtet werden. Dieser Azure Service erlaubt ein DNS Forwarding aus dem On-Premises Netzwerk ins Azure Netzwerk und umgekehrt.

Wenn das On-Premises und das virtuelle Netzwerk in Azure über ein VPN-Site-to-Site Gateway verbunden wurde, sollte auch der Zugriff auf die Azure Ressourcen über das Private Netz erfolgen und nicht über das Internet.
Wenn die Verbindung auf die Azure Ressourcen über das Private Netzwerk erfolgen soll, muss ein Private Endpoint erstellt werden. Der Private Endpoint erhält eine Netzwerkkarte und diese wiederrum eine Private IP-Adresse aus dem virtuellen Netzwerk in Azure. Die Private IP-Adresse trägt sich zusätzlich in eine Private DNS-Zone ein. Die Private DNS-Zone kann mithilfe des DNS Private Resolvers aus dem On-Premises Netzwerk durch Conditional Forwarding aufgelöst werden. Über die vergebene private IP-Adresse kann anschließend auf die Azure Ressourcen zugegriffen werden.
Bei bestimmten Azure Ressourcen wird zusätzlich zum Private Endpoint noch ein sogenannter Private Link Scope benötigt. Es handelt es sich um Azure Arc und Monitoring Ressourcen wie z.B. der Log Analytic Workspace.

Wenn in Azure Ressourcen erstellt werden müssen diese immer einer Ressourcen Gruppe angehören. Ressourcen können beispielsweise virtuelle Maschinen oder ein Storage Account sein. Es wird empfohlen, Ressourcen, die in etwa den gleichen Lebenszyklus haben, in eine gemeinsame Ressourcen Gruppe aufzunehmen. Dies erleichtert das spätere Verwalten und Löschen der Ressourcen.

Das Erstellen von Azure Ressourcen wird in diesem Kurs auch behandelt. Es werden unter anderem in Azure Virtuelle Maschinen, Storage Accounts, Private Endpoints und virtuelle Netzwerke erstellt.

Ein Storgae Account kann für Blob, File, Queue und Table verwendet werden. Wenn ein Storage Account für die Verwendung von Files verwendet wird, können Benutzer mithilfe von SMB und mit Kerberos Authentifizierung auf diesen zugreifen. Der Inhalt kann mithilfe von Azure File Sync synchronisiert werden.

Durch Extentions für Virtuelle Maschinen können nützliche Erweiterung integriert werden. Es kann z.B. ein PowerShell Skript ausgeführt werden oder durch die Extension Azure AD Login for Windows wird eine Azure VM in Entra aufgenommen. Mithilfe des Azure Ressource Model (ARM) wird berechtigt, wer sich anmelden darf.

Hat man nun diverse Ressourcen in Azure angelegt ist es natürlich möglich Benutzern den Zugriff auf diese Ressourcen zu ermöglichen. In der Regel sollen Benutzerkonten aus dem On-Premises AD weiterverwendet werden. Um dies zu erreichen, muss Entra-Connect (Azure AD Connect) eingerichtet werden, um die On-Premises Benutzerkonten nach Azure zu synchronisieren. Wenn die Identität eines Benutzers in Entra bekannt ist, kann ihm z.B. der Zugriff auf einen Storage Account gewährt werden oder die Möglichkeit, sich an einer Azure VM anzumelden.

In die Verwendung von Azure Arc wird in einer Hybriden Infrastruktur immer wichtiger. Durch Azure Arc werden Server aus der On-Premises Welt als Azure Ressource dargestellt. Die Server könnten sich aber auch bei anderen Cloud Anbietern wie AWS befinden.

Wenn ein Server in die Azure Arc Verwaltung überführt wurde, können Extension wie bei einer Azure VM angewandt werden.  

Für den Azure Monitoring Agent ist die Verwendung von Azure Arc Pflicht, um den Agent überhaupt installieren zu können. Dadurch können die Server mit einem Azure Monitoring Agent ausgestattet werden und so konfiguriert werden, dass Event oder Metric Daten an einen Log Analytic Workspace übermittelt werden.

Es können nicht nur Aktionen auf den Azure Arc verwaltet Maschinen über das Portal ausgeführt werden, sondern der Server erhält zusätzliche eine Identität in Azure. Es handelt sich hierbei um eine Managed Identity.  Durch die Managed Identity können die On-Premises Server auf Server Ressourcen wie Storage Accounts oder Key Vaults über das Azure Ressource Berechtigungsmodell berechtigt werden.

Ein weitere Vorteil von Azure Arc ist, dass die On-Premises Server mit einem Azure Update Plan ausgestattet werden können.

Eine große Stärke von Azure ist die Automatisierung. In diesem Kurs wird daher auch das automatische Erstellen von Ressourcen praktiziert. Die Automatisierung basiert weitgehend auf Templates. Das Format dieser Templates ist JSON (JavaScript Object Notation), welches sich in Azure großer Beliebtheit erfreut.

Zusätzlich ist es auch möglich PowerShell Skripte in Azure auszuführen. Diese können Aktionen sowohl in Azure als auch in der On-Premises Umgebung ausführen.

Damit die Ausführung der Skripte für die On-Premises Umgebung funktioniert, wird der Hybrid Runbook Worker benötigt. Dieser wird im Kurs unterrichtet. Auch hier ist die Verwendung von Azure Arc mittlerweile Pflicht.

In die verwendung von Azure Arc wird in einer Hybriden Infrastrukur immer wichtiger,