Варианты исправления для конфигурации компьютера

Прежде чем начать, рекомендуется ознакомиться со страницей обзора конфигурации компьютера.

Замечание

Конфигурация машины участвует в фреймворке безопасного развертывания Azure Policy. Это означает, что недавно назначенные политики автоматически применяются к компьютерам, развернутыми или обновленными после назначения. Чтобы расширить охват существующих компьютеров, просто включите функцию "Создать задачу исправления" на вкладке "Исправление" при назначении на портале Azure. Это гарантирует, что все компьютеры в области получают конфигурацию автоматически без вмешательства вручную. В режиме ApplyAndAutoCorrect задача исправления должна выполняться только один раз на существующий несоответствующий компьютер. После первоначального развертывания агент конфигурации компьютера постоянно применяет и автоматически исправляет смещение самостоятельно.

Это важно

Если задание Azure Policy создается на портале Azure, на вкладке "Исправление" установлен флажок "Создать задачу исправления". Если флажок установлен, после создания назначения политики задачи исправления автоматически исправляют все ресурсы, которые оцениваются как NonCompliant. Эффект этого параметра для конфигурации компьютера заключается в том, что можно развернуть конфигурацию на многих компьютерах, назначив политику. Вам также не нужно запускать задачу исправления вручную для компьютеров, которые не соответствуют требованиям.

Это важно

Расширение конфигурации компьютера требуется для Azure виртуальных машин. Чтобы развернуть расширение на всех компьютерах, назначьте следующую инициативу политики: Deploy prerequisites to enable guest configuration policies on virtual machines

Чтобы использовать пакеты конфигурации виртуальной машины, которые применяют настройки, требуется расширение гостевой конфигурации Azure VM версии 1.26.24 или новее или агент Arc версии 1.10.0 или новее.

Определения политик пользовательской конфигурации машин, использующие AuditIfNotExists, а также DeployIfNotExists, находятся в статусе поддержки общедоступной версии (GA).

Как конфигурация компьютера управляет исправлением (Set)

Конфигурация машины использует эффект политики DeployIfNotExists для определений, которые обеспечивают изменения внутри машин. Задайте свойства назначения политики, чтобы управлять тем, как оценка предоставляет конфигурации автоматически или по запросу.

Видеозапись с рассмотрением этого документа доступна.

Типы назначений конфигурации компьютера

Существует три доступных типа назначений при создании гостевых назначений. Свойство доступно в качестве параметра определений конфигурации компьютера, которые поддерживают DeployIfNotExists.

Свойство assignmentType property чувствительно к регистру

Тип назначения Поведение
Audit Сообщите о состоянии компьютера, но не вносите изменения.
ApplyAndMonitor Применяется к машине один раз, а затем отслеживается на предмет изменений. Если конфигурация отклоняется и становится NonCompliant, она не исправляется автоматически, если не будет активировано исправление.
ApplyAndAutoCorrect Применено к компьютеру. Если наблюдается отклонение, локальная служба внутри машины вносит исправление при следующей оценке.

Когда новое назначение политики назначается существующему компьютеру, гостевое назначение автоматически создается для аудита состояния конфигурации. Аудит предоставляет сведения, которые можно использовать для выбора необходимых компьютеров для исправления.

Исправление по требованию (ApplyAndMonitor)

По умолчанию назначения конфигурации компьютера работают в сценарии исправления по запросу. Конфигурация применяется, а затем ей позволяют отклониться от соблюдения норм.

Состояние соответствия гостевого назначения - Compliant если одно из следующих условий не выполняется:

  • Ошибка при применении конфигурации
  • Если компьютер больше не находится в требуемом состоянии во время следующей оценки

При выполнении любого из этих условий агент сообщает о состоянии как NonCompliant и не исправляет его автоматически.

Чтобы включить это поведение, задайте свойству assignmentType в назначении конфигурации компьютера значение ApplyandMonitor. Каждый раз, когда задание обрабатывается на компьютере, агент сообщает Compliant для каждого ресурса, если метод Test возвращает $true или NonCompliant, если метод возвращает $false.

Непрерывное исправление (автозамена)

Конфигурация компьютера поддерживает концепцию непрерывного исправления. Если компьютер выходит из соответствия с конфигурацией, при следующей проверке конфигурация исправляется автоматически. Если ошибка не возникает, компьютер всегда сообщает о состоянии Compliant конфигурации. При использовании непрерывного исправления отсутствует возможность уведомить о том, что отклонение было автоматически скорректировано.

Чтобы включить это поведение, задайте свойству assignmentType в назначении конфигурации компьютера значение ApplyandAutoCorrect. Каждый раз, когда назначение обрабатывается на компьютере, метод Set выполняется автоматически для каждого ресурса, который возвращает метод Testfalse.

Отключить меры по исправлению

Если для свойства assignmentType задано Auditзначение, агент выполняет только аудит компьютера и не пытается исправить конфигурацию, если она не соответствует требованиям.

Отключение исправления пользовательского содержимого

Можно переопределить свойство типа назначения для пользовательских пакетов содержимого, добавив тег на компьютер с именем CustomGuestConfigurationSetPolicy и значением disable. Добавление тега отключает исправление только для пользовательских пакетов содержимого, а не для встроенного содержимого, предоставленного Microsoft.

принудительное применение Azure Policy

Назначение Azure Policy включает необходимое свойство Enforcement Mode, определяющее поведение новых и существующих ресурсов. Это свойство позволяет контролировать, применяются ли конфигурации к компьютерам автоматически.

По умолчанию для принудительного применения задано значение Enabled. Azure Policy автоматически применяет конфигурацию при развертывании нового компьютера. Она также применяет конфигурацию, когда обновляются свойства устройства в рамках задания Azure Policy с политикой в категории Guest Configuration. Операции обновления включают действия, возникающие в Azure Resource Manager, например добавление или изменение тега. Операции обновления также включают изменения для виртуальных машин, таких как изменение размера или подключение диска.

Оставьте принудительное применение включенным, если конфигурация должна исправляться при изменении ресурса виртуальной машины в Azure. Изменения, происходящие на компьютере, не активируют автоматическое исправление, пока они не изменяют ресурс компьютера в Azure Resource Manager.

Если для принудительного применения задано Disabledзначение, назначение конфигурации проверяет состояние компьютера, пока задача исправления не изменит поведение. По умолчанию определения конфигурации машины обновляют свойство assignmentType из Audit в ApplyandMonitor, так, чтобы конфигурация применялась один раз, а затем не применяется повторно, пока не будет активировано исправление.

Необязательно. Исправление всех существующих компьютеров

Если задание Azure Policy создается на портале Azure, на вкладке "Исправление" установлен флажок "Создать задачу исправления". Если флажок установлен, после создания назначения политики задачи исправления автоматически исправляют все ресурсы, которые оцениваются как NonCompliant.

Эффект этого параметра для конфигурации компьютера заключается в том, что можно развернуть конфигурацию на многих компьютерах, назначив политику. Вам также не нужно запускать задачу исправления вручную для компьютеров, которые не соответствуют требованиям.

Активация исправления вручную за пределами Azure Policy

Вы можете оркестрировать исправление за пределами Azure Policy, обновив ресурс назначения гостей, даже если обновление не вносит изменения в свойства ресурса.

При создании назначения конфигурации компьютера для свойства complianceStatus задано значение Pending. Служба конфигурации компьютера запрашивает список назначений каждые 5 минут. Если complianceStatus задания конфигурации компьютера Pending и его режим конфигурации является ApplyandMonitor или ApplyandAutoCorrect, служба на компьютере применяет конфигурацию.

После применения конфигурации режим конфигурации определяет, следует ли только отслеживать состояние соответствия и допускать отклонения, или автоматически вносить исправления.

Общие сведения о сочетаниях параметров

~ Audit ApplyandMonitor Применение и автокоррекция
Принудительное применение включено Отчеты только о состоянии Конфигурация применяется при создании виртуальной машины и повторно при обновлении, но в остальное время может отклоняться от исходной. Конфигурация применяется при создании виртуальной машины, повторно применяется при обновлении и корректируется в следующем цикле, если происходит отклонение.
Принудительное применение отключено Отчеты только о состоянии Применена конфигурация, но допускается отклонение Конфигурация, примененная к созданию или обновлению виртуальной машины, и исправленная в следующем интервале, если происходит дрейф.

Дальнейшие шаги

  • Last updated on