Выполнение runbook службы автоматизации Azure в гибридной рабочей роли Runbook

Runbook, которые выполняются в гибридной рабочей роли Runbook, обычно используются для управления ресурсами на локальном компьютере или в локальной среде, где развернута эта рабочая роль. Модули Runbook в службе автоматизации Azure обычно управляют ресурсами в облаке Azure. Несмотря на различия в применении, runbook в службе автоматизации Azure и в гибридной рабочей роли Runbook имеют идентичную структуру.

Когда вы создаете последовательности runbook для выполнения в гибридной рабочей роли Runbook, их нужно редактировать и тестировать на том компьютере, где размещена эта рабочая роль. Этот компьютер уже имеет все модули PowerShell и доступ к сети, необходимые для управления локальными ресурсами. Завершив тестирование runbook на компьютере с гибридной рабочей ролью Runbook, вы можете передать его в среду службы автоматизации Azure, где он будет выполняться в рабочей роли.

Планирование служб Azure, защищенных брандмауэром

Включение Брандмауэра Azure для службы хранилища Azure, Azure Key Vault или Azure SQL блокирует для этих служб доступ из модулей runbook Службы автоматизации Azure. Доступ будет заблокирован даже в том случае, если задано исключение брандмауэра, разрешающее доверенные службы Майкрософт, так как служба автоматизации не входит в список таких служб. С включенным брандмауэром доступ возможен только с помощью гибридной рабочей роли Runbook и конечной точки службы для виртуальной сети.

Планирование поведения для задания runbook

служба автоматизации Azure обрабатывает задания в гибридных рабочих ролях Runbook по-разному от заданий, выполняемых в облачных песочницах. Если ваш runbook будет выполняться долго, обеспечьте ему устойчивость к возможному перезапуску. Дополнительные сведения о поведении задания см. в разделе Задания гибридной рабочей роли Runbook.

учетные записи служб;

Гибридная рабочая роль Windows

Задания для гибридных рабочих ролей Runbook выполняются в локальной системной учетной записи.

Гибридная рабочая роль Linux

Настройка разрешений для runbook

Разрешения для работы runbook в гибридной рабочей роли Runbook можно определить следующими способами:

• Настройте runbook так, чтобы он сам выполнял аутентификацию для доступа к локальным ресурсам.
• Настройте аутентификацию через управляемые удостоверения для ресурсов Azure.
• Укажите учетные данные гибридной рабочей роли, чтобы предоставить контекст пользователя для всех модулей Runbook.

Использование аутентификации runbook для доступа к локальным ресурсам

Для подготовки runbook, который самостоятельно выполняет аутентификацию для доступа к ресурсам, включите в этот runbook учетные данные и сертификат для нужных ресурсов. Существует несколько командлетов, которые поддерживают работу с учетными данными, что позволяет выполнять аутентификацию для доступа к разным ресурсам. В следующем примере показана часть модуля Runbook, предназначенная для перезапуска компьютера. Он извлекает учетные данные из ресурса учетных данных, а также получает имя компьютера из ресурса переменной, после чего использует эти значения в командлете Restart-Computer.

$Cred = Get-AutomationPSCredential -Name "MyCredential"
$Computer = Get-AutomationVariable -Name "ComputerName"

Restart-Computer -ComputerName $Computer -Credential $Cred

Можно также использовать действие InlineScript. InlineScript позволяет запускать блоки кода на другом компьютере с использованием учетных данных.

Проверка подлинности runbook на основе управляемых удостоверений

Гибридные рабочие роли Runbook на виртуальных машинах Azure могут использовать управляемые удостоверения при аутентификации для доступа к ресурсам Azure. Использование управляемых удостоверений вместо учетных записей запуска от имени дает некоторые преимущества, а точнее избавляет от выполнения следующих операций:

• экспорт сертификата запуска от имени с последующим импортом в гибридную рабочую роль Runbook;
• обновление сертификата учетной записи запуска от имени;
• обработка объекта подключения для запуска от имени в коде runbook.

Существует два способа использования управляемых удостоверений в сценариях гибридной рабочей роли Runbook.

1. Используйте управляемое удостоверение, назначаемое системой, для учетной записи службы автоматизации:

   1. Настройте управляемое удостоверение, назначаемое системой, для учетной записи службы автоматизации.

   2. Предоставьте этому удостоверению необходимые разрешения в подписке для выполнения задачи.

   3. Обновите runbook, чтобы он использовал командлет Connect-AzAccount с параметром Identity для аутентификации при доступе к ресурсам Azure. Такая конфигурация сокращает потребность использовать учетную запись запуска от имени и управлять сертификатом для нее.

      # Ensures you do not inherit an AzContext in your runbook
      Disable-AzContextAutosave -Scope Process
      
      # Connect to Azure with system-assigned managed identity
      $AzureContext = (Connect-AzAccount -Identity).context
      
      # set and store context
      $AzureContext = Set-AzContext -SubscriptionName $AzureContext.Subscription -DefaultProfile
      $AzureContext
      
      # Get all VM names from the subscription
      Get-AzVM -DefaultProfile $AzureContext | Select Name
      

   Примечание.

   Невозможно использовать управляемое удостоверение учетной записи службы автоматизации в гибридной рабочей роли Runbook, оно должно быть системным управляемым удостоверением учетной записи службы автоматизации.

2. Для виртуальной машины Azure, работающей в качестве гибридной рабочей роли Runbook, используйте управляемое удостоверение виртуальной машины. В этом случае можно использовать управляемое удостоверение, назначаемое пользователем виртуальной машины, или управляемое удостоверение виртуальной машины, назначаемое системой.

   Примечание.

   Это не будет работать в учетной записи службы автоматизации, настроенной с помощью управляемого удостоверения учетной записи службы автоматизации. Как только управляемое удостоверение учетной записи службы автоматизации включено, больше нельзя использовать управляемое удостоверение виртуальной машины, а затем использовать управляемое удостоверение, назначаемое системой автоматизации, только можно использовать управляемое удостоверение, назначаемое системой автоматизации, как упоминалось в варианте 1 выше.

   Используйте одно из следующих управляемых удостоверений:

   • Назначаемое системой управляемое удостоверение виртуальной машины
   • Управляемое удостоверение, назначаемое пользователем виртуальной машины

   1. Настройте управляемое системой удостоверение для виртуальной машины.
   2. Предоставьте этому удостоверению необходимые разрешения в подписке для выполнения своих задач.
   3. Обновите модуль Runbook, чтобы использовать командлет Connect-Az-Account с параметром Identity для проверки подлинности в ресурсах Azure. Эта конфигурация снижает потребность в использовании учетной записи запуска от имени и выполнении связанного управления учетными записями.

       # Ensures you do not inherit an AzContext in your runbook
       Disable-AzContextAutosave -Scope Process
   
       # Connect to Azure with system-assigned managed identity
       $AzureContext = (Connect-AzAccount -Identity).context
   
       # set and store context
       $AzureContext = Set-AzContext -SubscriptionName $AzureContext.Subscription -DefaultProfile
       $AzureContext
   
       # Get all VM names from the subscription
       Get-AzVM -DefaultProfile $AzureContext | Select Name
   

Сервер с поддержкой Arc или виртуальная машина VMware vSphere с поддержкой Arc, запущенная в качестве гибридной рабочей роли Runbook, уже имеет встроенное управляемое удостоверение, назначенное ему для проверки подлинности.

1. Вы можете предоставить этому управляемому удостоверению доступ к ресурсам в подписке в колонке управления доступом (IAM) ресурса, добавив соответствующее назначение роли.

   

2. Добавьте управляемое удостоверение Azure Arc в выбранную роль по мере необходимости.

   

Использование проверки подлинности Runbook с учетными данными гибридной рабочей роли

Необходимые условия

• Гибридная рабочая роль должна быть развернута, и компьютер должен находиться в состоянии выполнения перед выполнением модуля Runbook.

Учетные данные гибридной рабочей роли вместо того, чтобы модуль Runbook предоставил собственную проверку подлинности для локальных ресурсов, можно указать учетные данные гибридной рабочей роли для гибридной рабочей роли Runbook. Чтобы указать учетные данные гибридной рабочей роли, необходимо определить ресурс учетных данных, имеющий доступ к локальным ресурсам. К этим ресурсам относятся хранилища сертификатов и все runbook, которые выполняются с этими учетными данными в гибридных рабочих ролях Runbook, входящих в эту группу.

• Имя пользователя для учетных данных должно быть представлено в одном из следующих форматов:

  • домен\имя_пользователя
  • username@domain
  • имя пользователя (для локальных учетных записей на локальном компьютере).

• Чтобы использовать модуль runbook PowerShell Export-RunAsCertificateToHybridWorker, необходимо установить модули Az для службы автоматизации Azure на локальном компьютере.

Использование ресурса учетных данных для группы гибридных рабочих ролей Runbook

По умолчанию гибридные задания выполняются в контексте системной учетной записи. Однако для запуска гибридных заданий в другом ресурсе учетных данных выполните действия.

1. Создайте ресурс учетных данных с доступом к локальным ресурсам.
2. На портале Azure перейдите в раздел Учетная запись службы автоматизации.
3. Щелкните Группы гибридных рабочих ролей и выберите нужную группу.
4. Выберите Параметры.
5. Измените значение параметра Учетные данные гибридной рабочей роли с По умолчанию на Пользовательские.
6. Выберите учетные данные и нажмите кнопку Сохранить.
7. Если для пользовательских пользователей не назначены следующие разрешения, задания могут быть приостановлены.

Запуск runbook в гибридной рабочей роли Runbook

В статье Запуск runbook в службе автоматизации Azure описываются разные методы запуска для runbook. Задача запуска модуля runbook в гибридной рабочей роли Runbook использует параметр Запуск на, который позволяет указать имя группы гибридных рабочих ролей Runbook. Если группа указана, одна из рабочих ролей в этой группе извлекает и выполняет runbook. Если для runbook не указан этот параметр, служба автоматизации Azure выполняет его обычным образом.

При запуске runbook на портале Azure вы увидите вариант действия Выполнить в, для которого можно выбрать значения Azure или Гибридная рабочая роль. Выберите гибридную рабочую роль, чтобы выбрать группу гибридной рабочей роли Runbook в раскрывающемся списке.

При запуске runbook с помощью PowerShell используйте параметр RunOn с командлетом Start-AzAutomationRunbook. Следующий пример применяет Windows PowerShell для запуска runbook с именем Test-Runbook в группе гибридных рабочих ролей Runbook с именем MyHybridGroup.

Start-AzAutomationRunbook -AutomationAccountName "MyAutomationAccount" -Name "Test-Runbook" -RunOn "MyHybridGroup"

Работа с подписанными runbook в гибридной рабочей роли Runbook для Windows

Вы можете настроить гибридную рабочую роль Runbook для Windows так, чтобы она выполняла только подписанные runbook.

Создание сертификата для подписи

В следующем примере создается самозаверяющийся сертификат, который можно использовать для подписывания модулей runbook. Этот код создает сертификат и экспортирует его, чтобы гибридная рабочая роль Runbook могла позднее его импортировать. Также возвращается отпечаток для последующего использования в ссылке на сертификат.

# Create a self-signed certificate that can be used for code signing
$SigningCert = New-SelfSignedCertificate -CertStoreLocation cert:\LocalMachine\my `
    -Subject "CN=contoso.com" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" `
    -KeyExportPolicy Exportable `
    -KeyUsage DigitalSignature `
    -Type CodeSigningCert

# Export the certificate so that it can be imported to the hybrid workers
Export-Certificate -Cert $SigningCert -FilePath .\hybridworkersigningcertificate.cer

# Import the certificate into the trusted root store so the certificate chain can be validated
Import-Certificate -FilePath .\hybridworkersigningcertificate.cer -CertStoreLocation Cert:\LocalMachine\Root

# Retrieve the thumbprint for later use
$SigningCert.Thumbprint

Импорт сертификата и настройка рабочих ролей для проверки подписей

Скопируйте созданный сертификат в каждую гибридную рабочую роль Runbook в группе. Выполните следующий скрипт, чтобы импортировать сертификат и настроить в рабочих ролях использование проверки подписи для runbook.

# Install the certificate into a location that will be used for validation.
New-Item -Path Cert:\LocalMachine\AutomationHybridStore
Import-Certificate -FilePath .\hybridworkersigningcertificate.cer -CertStoreLocation Cert:\LocalMachine\AutomationHybridStore

# Import the certificate into the trusted root store so the certificate chain can be validated
Import-Certificate -FilePath .\hybridworkersigningcertificate.cer -CertStoreLocation Cert:\LocalMachine\Root

# Configure the hybrid worker to use signature validation on runbooks.
Set-HybridRunbookWorkerSignatureValidation -Enable $true -TrustedCertStoreLocation "Cert:\LocalMachine\AutomationHybridStore"

Подписывание runbook с помощью сертификата

Если для гибридных рабочих ролей Runbook настроено использование только подписанных runbook, вам необходимо подписать все runbook, которые будут использоваться в этих гибридных рабочих ролях Runbook. Для подписывания runbook используйте следующий пример кода PowerShell.

$SigningCert = ( Get-ChildItem -Path cert:\LocalMachine\My\<CertificateThumbprint>)
Set-AuthenticodeSignature .\TestRunbook.ps1 -Certificate $SigningCert

Подписанные runbook нужно импортировать в учетную запись службы автоматизации Azure и опубликовать вместе с блоком подписей. Чтобы узнать, как импортировать последовательности runbook, ознакомьтесь с разделом Импорт runbook.

Работа с подписанными runbook в гибридной рабочей роли Runbook для Linux

Чтобы поддерживать работу со подписанными runbook, гибридная рабочая роль Runbook для Linux должна иметь исполняемый файл GPG на локальном компьютере.

Вам нужно будет выполнить следующие действия для завершения настройки:

• Создание набора и пары ключей GPG
• Предоставление доступа к набору ключей для гибридной рабочей роли Runbook
• Проверка включения проверки подписи
• Подпись модуля runbook

Создание набора и пары ключей GPG

Чтобы создать набор ключей и пару ключей, используйте учетную запись nxautomation в гибридной рабочей роли Runbook.

1. С помощью приложения sudo выполните вход с учетной записью nxautomation.

   sudo su - nxautomation
   

2. После использования nxautomation создайте GPG keypair в качестве корневого. Процесс GPG будет подсказывать вам следующие шаги. Вам нужно будет указать имя, адрес электронной почты, срок действия и парольную фразу. Затем подождите, пока компьютер достигнет достаточного уровня энтропии, чтобы создать ключ.

   sudo gpg --generate-key
   

3. Так как каталог GPG был создан с помощью sudo, необходимо изменить владельца на nxautomation с помощью следующей команды в качестве корневой.

   sudo chown -R nxautomation ~/.gnupg
   

Предоставление доступа к набору ключей для гибридной рабочей роли Runbook

Создав набор ключей, сделайте его доступным для гибридной рабочей роли Runbook. Измените файл настроек home/nxautomation/state/worker.conf, включив приведенный ниже пример кода в раздел [worker-optional].

gpg_public_keyring_path = /home/nxautomation/run/.gnupg/pubring.kbx

Проверка включения проверки подписи

Если проверка подписи отключена на компьютере, ее необходимо включить, выполнив следующую команду в качестве корневой папки. Замените <LogAnalyticsworkspaceId> идентификатором рабочей области.

sudo python /opt/microsoft/omsconfig/modules/nxOMSAutomationWorker/DSCResources/MSFT_nxOMSAutomationWorkerResource/automationworker/scripts/require_runbook_signature.py --true <LogAnalyticsworkspaceId>

Подпись модуля runbook

Настроив проверку подписи,выполните следующую команду GPG для подписывания runbook.

gpg --clear-sign <runbook name>

Подписанный модуль Runbook называется <runbook name.asc>.

Теперь подписанный runbook можно отправить в службу автоматизации Azure и выполнять как обычную последовательность runbook.

Ведение журнала

Чтобы помочь в устранении неполадок с последовательностями runbook, работающими в гибридной рабочей роли Runbook, журналы хранятся локально в следующем расположении:

• В системе Windows в папке C:\ProgramData\Microsoft\System Center\Orchestrator\<version>\SMA\Sandboxes для ведения подробного журнала процессов в среде выполнения задания. События состояния задания runbook высокого уровня записываются в журнал событий Application and Services Logs\Microsoft-Automation\Operations.

• В системе Linux журналы гибридных рабочих ролей пользователей можно найти в фале /home/nxautomation/run/worker.log, а системные журналы рабочих ролей runbook — в /var/opt/microsoft/omsagent/run/automationworker/worker.log.

Следующие шаги

• Дополнительные сведения о гибридной рабочей роли Runbook см. в разделе "Гибридная рабочая роль Runbook службы автоматизации".
• Если последовательности runbook выполняются с ошибками, см. руководство по устранению неполадок при выполнении runbook.
• Дополнительные сведения о PowerShell, включая справочник по языку и обучающие модули, приведены в этой документации.
• Узнайте, как использовать Политику Azure для управления выполнением Runbook с помощью гибридных рабочих ролей Runbook.
• Справочник по командлетам PowerShell см. в документации по Az.Automation.