Připojení k Azure Resource Manageru na zařízení Azure Stack Edge
PLATÍ PRO: Azure Stack Edge Pro – GPUAzure Stack Edge Pro 2Azure Stack Edge Pro RAzure Stack Edge Mini R
Azure Resource Manager nabízí vrstvu správy, která umožňuje vytvářet, aktualizovat a odstraňovat prostředky ve vašem předplatném Azure. Zařízení Azure Stack Edge podporuje stejná rozhraní API Azure Resource Manageru pro vytváření, aktualizaci a odstraňování virtuálních počítačů v místním předplatném. Tato podpora umožňuje spravovat zařízení způsobem konzistentním s cloudem.
Tento článek popisuje, jak se připojit k místním rozhraním API na zařízení Azure Stack Edge přes Azure Resource Manager pomocí Azure PowerShellu.
Koncové body na zařízení Azure Stack Edge
Následující tabulka shrnuje různé koncové body zveřejněné na vašem zařízení, podporované protokoly a porty pro přístup k těmto koncovým bodům. V tomto článku najdete odkazy na tyto koncové body.
# | Koncový bod | Podporované protokoly | Použitý port | Použití |
---|---|---|---|---|
1. | Azure Resource Manager | HTTPS | 443 | Připojení k Azure Resource Manageru pro automatizaci |
2. | Služba tokenů zabezpečení | HTTPS | 443 | Ověření prostřednictvím přístupových a obnovovacích tokenů |
3. | Kapka* | HTTPS | 443 | Připojení k úložišti objektů blob přes REST |
* Připojení ke koncovému bodu úložiště objektů blob se nevyžaduje pro připojení k Azure Resource Manageru.
Připojení k pracovnímu postupu Azure Resource Manageru
Proces připojení k místním rozhraním API zařízení pomocí Azure Resource Manageru vyžaduje následující kroky:
Krok # | Proveďte tento krok ... | .. na tomto místě. |
---|---|---|
1. | Konfigurace zařízení Azure Stack Edge | Místní webové uživatelské rozhraní |
2. | Vytvoření a instalace certifikátů | Klient Windows / místní webové uživatelské rozhraní |
3. | Kontrola a konfigurace požadavků | Klient Windows |
4. | Nastavení Azure PowerShellu na klientovi | Klient Windows |
5. | Úprava souboru hostitele pro překlad názvů koncových bodů | Klient windows nebo server DNS |
6. | Zkontrolujte, jestli se přeloží název koncového bodu. | Klient Windows |
7. | Použití rutin Azure PowerShellu k ověření připojení k Azure Resource Manageru | Klient Windows |
V následujících částech najdete podrobnosti o každém z výše uvedených kroků při připojování k Azure Resource Manageru.
Požadavky
Než začnete, ujistěte se, že klient použitý pro připojení k zařízení přes Azure Resource Manager používá protokol TLS 1.2. Další informace najdete v tématu Konfigurace protokolu TLS 1.2 v klientovi s Windows, který přistupuje k zařízení Azure Stack Edge.
Krok 1: Konfigurace zařízení Azure Stack Edge
V místním webovém uživatelském rozhraní vašeho zařízení Azure Stack Edge proveďte následující kroky.
Dokončete nastavení sítě pro zařízení Azure Stack Edge.
Poznamenejte si IP adresu zařízení. Tuto IP adresu použijete později.
Na stránce Zařízení nakonfigurujte název zařízení a doménu DNS. Poznamenejte si název zařízení a doménu DNS, protože je budete později používat.
Důležité
Název zařízení, doména DNS se použije k vytvoření vystavených koncových bodů. Použijte koncové body Azure Resource Manageru a objektů blob ze stránky Zařízení v místním webovém uživatelském rozhraní.
Krok 2: Vytvoření a instalace certifikátů
Certifikáty zajišťují, že vaše komunikace je důvěryhodná. Na zařízení Azure Stack Edge se automaticky vygenerují certifikáty zařízení podepsané svým držitelem, objekt blob a certifikáty Azure Resource Manageru. Volitelně můžete také přenést vlastní podepsané objekty blob a certifikáty Azure Resource Manageru.
Při přenesení podepsaného certifikátu vlastního certifikátu potřebujete také odpovídající podpisový řetězec certifikátu. Pro podpisový řetězec, Azure Resource Manager a certifikáty objektů blob v zařízení potřebujete odpovídající certifikáty na klientském počítači také k ověření a komunikaci se zařízením.
Pokud se chcete připojit k Azure Resource Manageru, musíte vytvořit nebo získat podpisový řetěz a certifikáty koncových bodů, importovat tyto certifikáty do klienta Windows a nakonec tyto certifikáty nahrát do zařízení.
Vytvoření certifikátů
K testování a vývoji můžete použít jenom Windows PowerShell k vytvoření certifikátů v místním systému. Při vytváření certifikátů pro klienta postupujte podle těchto pokynů:
Nejdřív musíte vytvořit kořenový certifikát pro podpisový řetězec. Další informace najdete v postupu vytvoření podpisových certifikátů řetězu.
Dále můžete vytvořit certifikáty koncových bodů pro Azure Resource Manager a objekt blob (volitelné). Tyto koncové body můžete získat ze stránky Zařízení v místním webovém uživatelském rozhraní. Podívejte se na postup vytvoření certifikátů koncových bodů.
U všech těchto certifikátů se ujistěte, že název subjektu a alternativní název subjektu odpovídají následujícím pokynům:
Typ Název subjektu (SN) Alternativní název subjektu (SAN) Příklad názvu subjektu Azure Resource Manager management.<Device name>.<Dns Domain>
login.<Device name>.<Dns Domain>
management.<Device name>.<Dns Domain>
management.mydevice1.microsoftdatabox.com
Blob Storage* *.blob.<Device name>.<Dns Domain>
*.blob.< Device name>.<Dns Domain>
*.blob.mydevice1.microsoftdatabox.com
Jeden certifikát s více sítěmi SAN pro oba koncové body <Device name>.<dnsdomain>
login.<Device name>.<Dns Domain>
management.<Device name>.<Dns Domain>
*.blob.<Device name>.<Dns Domain>
mydevice1.microsoftdatabox.com
* Pro připojení k Azure Resource Manageru není potřeba úložiště objektů blob. Tady je uvedený pro případ, že na svém zařízení vytváříte účty místního úložiště.
Další informace ocertifikátch zařízení najdete v článku o tom, jak nahrát certifikáty na zařízení a importovat certifikáty do klientů, kteří k němu přistupují.
Nahrání certifikátů do zařízení
Certifikáty, které jste vytvořili v předchozím kroku, jsou v osobním úložišti na vašem klientovi. Tyto certifikáty je potřeba exportovat do příslušného formátu souborů, které se pak dají nahrát do vašeho zařízení.
Kořenový certifikát musí být exportován jako soubor formátu DER s příponou .cer souboru. Podrobný postup najdete v tématu Export certifikátů jako souboru formátu .cer.
Certifikáty koncových bodů musí být exportovány jako soubory .pfx s privátními klíči. Podrobný postup najdete v tématu Export certifikátů jako souboru .pfx s privátními klíči.
Kořenové certifikáty a certifikáty koncových bodů se pak nahrají do zařízení pomocí možnosti +Přidat certifikát na stránce Certifikáty v místním webovém uživatelském rozhraní. Pokud chcete certifikáty nahrát, postupujte podle kroků v části Nahrání certifikátů.
Import certifikátů na klientovi s Azure PowerShellem
Klient Windows, ve kterém vyvoláte rozhraní API Azure Resource Manageru, musí navázat vztah důvěryhodnosti se zařízením. K tomuto účelu musí být certifikáty, které jste vytvořili v předchozím kroku, importovány do příslušného úložiště certifikátů v klientovi Windows.
Kořenový certifikát, který jste exportovali jako formát DER s rozšířením .cer , by se teď měl importovat do důvěryhodných kořenových certifikačních autorit ve vašem klientském systému. Podrobné kroky najdete v tématu Import certifikátů do úložiště důvěryhodných kořenových certifikačních autorit.
Certifikáty koncových bodů, které jste exportovali jako .pfx, musí být exportovány jako .cer. Tato .cer se pak naimportuje do úložiště osobních certifikátů ve vašem systému. Podrobný postup najdete v tématu Import certifikátů do osobního úložiště.
Krok 3: Instalace PowerShellu na klienta
Váš klient Windows musí splňovat následující požadavky:
Spusťte Windows PowerShell 5.1. Musíte mít Windows PowerShell 5.1. Pokud chcete zkontrolovat verzi PowerShellu ve vašem systému, spusťte následující rutinu:
$PSVersionTable.PSVersion
Porovnejte hlavní verzi a ujistěte se, že je verze 5.1 nebo novější.
Pokud máte zastaralou verzi, viz Upgrade stávajícího prostředí Windows PowerShell.
Pokud nemáte PowerShell 5.1, postupujte podle pokynů v instalaci Windows PowerShellu.
Příklad výstupu je uvedený níže.
Windows PowerShell Copyright (C) Microsoft Corporation. All rights reserved. Try the new cross-platform PowerShell https://aka.ms/pscore6 PS C:\windows\system32> $PSVersionTable.PSVersion Major Minor Build Revision ----- ----- ----- -------- 5 1 19041 906
K Galerie prostředí PowerShell se dostanete.
Spusťte PowerShell jako správce. Ověřte, že je verze PowerShellGet starší než 2.2.3. Kromě toho ověřte, jestli
PSGallery
je zaregistrovaná jako úložiště.Install-Module PowerShellGet -MinimumVersion 2.2.3 Import-Module -Name PackageManagement -ErrorAction Stop Get-PSRepository -Name "PSGallery"
Příklad výstupu je uvedený níže.
PS C:\windows\system32> Install-Module PowerShellGet -MinimumVersion 2.2.3 PS C:\windows\system32> Import-Module -Name PackageManagement -ErrorAction Stop PS C:\windows\system32> Get-PSRepository -Name "PSGallery" Name InstallationPolicy SourceLocation ---- ------------------ -------------- PSGallery Trusted https://www.powershellgallery.com/api/v2
Pokud vaše úložiště není důvěryhodné nebo potřebujete další informace, přečtěte si téma Ověření Galerie prostředí PowerShell přístupnosti.
Krok 4: Nastavení Azure PowerShellu na klientovi
Nainstalujte moduly Azure PowerShellu na klienta, který funguje s vaším zařízením.
Spusťte PowerShell jako správce. Musíte mít přístup k galerii Prostředí PowerShell.
Nejprve ověřte, že ve vašem klientovi neexistují žádné verze
AzureRM
aAz
moduly. Pokud to chcete zkontrolovat, spusťte následující příkazy:# Check existing versions of AzureRM modules Get-InstalledModule -Name AzureRM -AllVersions # Check existing versions of Az modules Get-InstalledModule -Name Az -AllVersions
Pokud existují existující verze, odinstalujte ji pomocí rutiny
Uninstall-Module
. Další informace najdete v tématu- Odinstalujte moduly AzureRM.
- Odinstalujte moduly Az.
Pokud chcete nainstalovat požadované moduly Azure PowerShellu z Galerie prostředí PowerShell, spusťte následující příkaz:
Pokud váš klient používá PowerShell Core verze 7.0 nebo novější:
# Install the Az.BootStrapper module. Select Yes when prompted to install NuGet. Install-Module -Name Az.BootStrapper # Install and import the API Version Profile into the current PowerShell session. Use-AzProfile -Profile 2020-09-01-hybrid -Force # Confirm the installation of PowerShell Get-Module -Name "Az*" -ListAvailable
Pokud váš klient používá PowerShell 5.1 nebo novější:
#Install the Az module version 1.10.0 Install-Module -Name Az -RequiredVersion 1.10.0
Ujistěte se, že máte na konci instalace spuštěnou správnou verzi modulu Az.
Pokud jste použili PowerShell 7 nebo novější, následující příklad výstupu indikuje, že moduly Az verze 2.0.1 (nebo novější) byly úspěšně nainstalovány.
PS C:\windows\system32> Install-Module -Name Az.BootStrapper PS C:\windows\system32> Use-AzProfile -Profile 2020-09-01-hybrid -Force Loading Profile 2020-09-01-hybrid PS C:\windows\system32> Get-Module -Name "Az*" -ListAvailable
Pokud jste použili PowerShell 5.1 nebo novější, následující příklad výstupu indikuje, že moduly Az verze 1.10.0 byly úspěšně nainstalovány.
PS C:\WINDOWS\system32> Get-InstalledModule -Name Az -AllVersions Version Name Repository Description ------- ---- ---------- ----------- 1.10.0 Az PSGallery Mic... PS C:\WINDOWS\system32>
Krok 5: Úprava souboru hostitele pro překlad názvů koncových bodů
Teď přidáte IP adresu zařízení do:
- Soubor hostitele v klientovi, OR,
- Konfigurace serveru DNS
Důležité
Doporučujeme upravit konfiguraci serveru DNS pro překlad názvů koncových bodů.
Na klientovi s Windows, kterého používáte pro připojení k zařízení, proveďte následující kroky:
Spusťte Poznámkový blok jako správce a otevřete soubor hostitelů umístěný v umístění C:\Windows\System32\Drivers\etc.
Přidejte do souboru hostitelů následující položky a nahraďte je odpovídajícími hodnotami pro vaše zařízení:
<Device IP> login.<appliance name>.<DNS domain> <Device IP> management.<appliance name>.<DNS domain> <Device IP> <storage name>.blob.<appliance name>.<DNS domain>
Důležité
Položka v souboru hostitelů by se měla shodovat přesně s tím, co jste zadali pro připojení k Azure Resource Manageru v pozdějším kroku. Ujistěte se, že položka domény DNS je tady všechna malá písmena. Pokud chcete získat hodnoty pro zařízení
<appliance name>
a<DNS domain>
přejděte na stránku Zařízení v místním uživatelském rozhraní vašeho zařízení.IP adresu zařízení jste uložili z místního webového uživatelského rozhraní v předchozím kroku.
Položka
login.<appliance name>.<DNS domain>
je koncový bod pro službu tokenů zabezpečení (STS). Služba tokenů zabezpečení zodpovídá za vytváření, ověřování, obnovení a zrušení tokenů zabezpečení. Služba tokenů zabezpečení slouží k vytvoření přístupového tokenu a obnovovacího tokenu používaného k nepřetržité komunikaci mezi zařízením a klientem.Koncový bod pro úložiště objektů blob je volitelný při připojování k Azure Resource Manageru. Tento koncový bod je potřeba při přenosu dat do Azure prostřednictvím účtů úložiště.
Pro referenci použijte následující obrázek. Uložte soubor hostitelů.
Krok 6: Ověření překladu názvů koncových bodů v klientovi
Zkontrolujte, jestli se název koncového bodu přeloží na klientovi, kterého používáte pro připojení k zařízení.
Pomocí nástroje příkazového
ping.exe
řádku můžete zkontrolovat, jestli se název koncového bodu přeloží. Příkaz vrátí název hostitele TCP/IP počítače,ping
který sledujete.-a
Přidejte přepínač na příkazový řádek, jak je znázorněno v následujícím příkladu. Pokud je název hostitele vrácený, vrátí se v odpovědi také tyto potenciálně cenné informace.
Krok 7: Nastavení prostředí Azure Resource Manageru
Nastavte prostředí Azure Resource Manageru a ověřte, že vaše zařízení na komunikaci klientů prostřednictvím Azure Resource Manageru funguje správně. Pro toto ověření proveďte následující kroky:
Pomocí rutiny
Add-AzEnvironment
se ujistěte, že komunikace přes Azure Resource Manager funguje správně a že volání rozhraní API procházejí přes port 443 vyhrazený pro Azure Resource Manager.Rutina
Add-AzEnvironment
přidá koncové body a metadata, aby se rutiny Azure Resource Manageru mohly připojit k nové instanci Azure Resource Manageru.Důležité
Adresa URL koncového bodu Azure Resource Manageru, kterou zadáte v následující rutině, rozlišují malá a velká písmena. Ujistěte se, že je adresa URL koncového bodu všechna malá písmena a odpovídá tomu, co jste zadali v souboru hostitelů. Pokud se případ neshoduje, zobrazí se chyba.
Add-AzEnvironment -Name <Environment Name> -ARMEndpoint "https://management.<appliance name>.<DNSDomain>/"
Ukázkový výstup je uvedený níže:
PS C:\WINDOWS\system32> Add-AzEnvironment -Name AzASE -ARMEndpoint "https://management.myasegpu.wdshcsso.com/" Name Resource Manager Url ActiveDirectory Authority ---- -------------------- ------------------------- AzASE https://management.myasegpu.wdshcsso.com/ https://login.myasegpu.wdshcsso.c...
Nastavte prostředí jako Azure Stack Edge a port, který se má použít pro volání Azure Resource Manageru jako 443. Prostředí definujete dvěma způsoby:
Nastavte prostředí. Zadejte následující příkaz:
Set-AzEnvironment -Name <Environment Name>
Tady je příklad výstupu.
PS C:\WINDOWS\system32> Set-AzEnvironment -Name AzASE Name Resource Manager Url ActiveDirectory Authority ---- -------------------- ------------------------- AzASE https://management.myasegpu.wdshcsso.com/ https://login.myasegpu.wdshcsso.c...
Další informace najdete v tématu Set-AzEnvironment.
Definujte prostředí vložené pro každou spuštěnou rutinu. Tím zajistíte, že všechna volání rozhraní API procházejí správným prostředím. Ve výchozím nastavení by volání prošla veřejnou službou Azure, ale vy chcete, aby prošla prostředím, které jste nastavili pro zařízení Azure Stack Edge.
Další informace o tom, jak přepnout prostředí Az.
Zavoláním rozhraní API místního zařízení ověřte připojení k Azure Resource Manageru.
Tyto přihlašovací údaje jsou určené pro účet místního počítače a používají se výhradně pro přístup k rozhraní API.
Můžete se připojit pomocí
login-AzAccount
příkazu nebo pomocíConnect-AzAccount
příkazu.Pokud se chcete přihlásit, zadejte následující příkaz.
$pass = ConvertTo-SecureString "<Your password>" -AsPlainText -Force; $cred = New-Object System.Management.Automation.PSCredential("EdgeArmUser", $pass) Connect-AzAccount -EnvironmentName AzASE -TenantId aaaabbbb-0000-cccc-1111-dddd2222eeee -credential $cred
Použijte ID tenanta aaaabbbb-0000-cccc-1111-dd2222eeeeee jako v této instanci je pevně zakódováno. Použijte následující uživatelské jméno a heslo.
Uživatelské jméno - EdgeArmUser
Heslo - nastavte pro Azure Resource Manager a toto heslo použijte k přihlášení.
Tady je příklad výstupu
Connect-AzAccount
pro:PS C:\windows\system32> $pass = ConvertTo-SecureString "<Your password>" -AsPlainText -Force; PS C:\windows\system32> $cred = New-Object System.Management.Automation.PSCredential("EdgeArmUser", $pass) PS C:\windows\system32> Connect-AzAccount -EnvironmentName AzASE -TenantId aaaabbbb-0000-cccc-1111-dddd2222eeee -credential $cred Account SubscriptionName TenantId Environment ------- ---------------- -------- ----------- EdgeArmUser@localhost Default Provider Subscription aaaabbbb-0000-cccc-1111-dddd2222eeee AzASE PS C:\windows\system32>
Alternativní způsob, jak se přihlásit, je použít rutinu
login-AzAccount
.login-AzAccount -EnvironmentName <Environment Name> -TenantId aaaabbbb-0000-cccc-1111-dddd2222eeee
Tady je příklad výstupu.
PS C:\WINDOWS\system32> login-AzAccount -EnvironmentName AzASE -TenantId aaaabbbb-0000-cccc-1111-dddd2222eeee Account SubscriptionName TenantId ------- ---------------- -------- EdgeArmUser@localhost Default Provider Subscription c0257de7-538f-415c-993a-1b87a... PS C:\WINDOWS\system32>
Pokud chcete ověřit, že připojení k zařízení funguje, použijte
Get-AzResource
příkaz. Tento příkaz by měl vrátit všechny prostředky, které existují místně na zařízení.Tady je příklad výstupu.
PS C:\WINDOWS\system32> Get-AzResource Name : aseimagestorageaccount ResourceGroupName : ase-image-resourcegroup ResourceType : Microsoft.Storage/storageaccounts Location : dbelocal ResourceId : /subscriptions/.../resourceGroups/ase-image-resourcegroup/providers/Microsoft.Storage/storageac counts/aseimagestorageaccount Tags : Name : myaselinuxvmimage1 ResourceGroupName : ASERG ResourceType : Microsoft.Compute/images Location : dbelocal ResourceId : /subscriptions/.../resourceGroups/ASERG/providers/Microsoft.Compute/images/myaselinuxvmimage1 Tags : Name : ASEVNET ResourceGroupName : ASERG ResourceType : Microsoft.Network/virtualNetworks Location : dbelocal ResourceId : /subscriptions/.../resourceGroups/ASERG/providers/Microsoft.Network/virtualNetworks/ASEVNET Tags : PS C:\WINDOWS\system32>
Pokud narazíte na problémy s připojením Azure Resource Manageru, pokyny najdete v tématu Řešení potíží s Azure Resource Managerem.
Důležité
Připojení k Azure Resource Manageru vyprší každých 1,5 hodiny nebo pokud se vaše zařízení Azure Stack Edge restartuje. Pokud k tomu dojde, všechny rutiny, které spustíte, vrátí chybové zprávy, které už nejsou připojené k Azure. Budete se muset znovu přihlásit.
Přepnutí prostředí
Možná budete muset přepínat mezi dvěma prostředími.
Spuštěním Disconnect-AzAccount
příkazu přepněte na jinou AzEnvironment
. Pokud používáte Set-AzEnvironment
a Login-AzAccount
nepoužíváte Disconnect-AzAccount
, prostředí se nepřepne.
Následující příklady ukazují, jak přepínat mezi dvěma prostředími AzASE1
a AzASE2
.
Nejprve vypíšete všechna existující prostředí v klientovi.
PS C:\WINDOWS\system32> Get-AzEnvironment
Name Resource Manager Url ActiveDirectory Authority
---- -------------------- -------------------------
AzureChinaCloud https://management.chinacloudapi.cn/ https://login.chinacloudapi.cn/
AzureCloud https://management.azure.com/ https://login.microsoftonline.com/
AzureGermanCloud https://management.microsoftazure.de/ https://login.microsoftonline.de/
AzDBE1 https://management.HVTG1T2-Test.microsoftdatabox.com https://login.hvtg1t2-test.microsoftdatabox.com/adfs/
AzureUSGovernment https://management.usgovcloudapi.net/ https://login.microsoftonline.us/
AzDBE2 https://management.CVV4PX2-Test.microsoftdatabox.com https://login.cvv4px2-test.microsoftdatabox.com/adfs/
Dále získejte prostředí, ke kterému jste aktuálně připojení přes Azure Resource Manager.
PS C:\WINDOWS\system32> Get-AzContext |fl *
Name : Default Provider Subscription (...) - EdgeArmUser@localhost
Account : EdgeArmUser@localhost
Environment : AzDBE2
Subscription : ...
Tenant : aaaabbbb-0000-cccc-1111-dddd2222eeee
TokenCache : Microsoft.Azure.Commands.Common.Authentication.ProtectedFileTokenCache
VersionProfile :
ExtendedProperties : {}
Před přepnutím do jiného prostředí byste se teď měli odpojit od aktuálního prostředí.
PS C:\WINDOWS\system32> Disconnect-AzAccount
Id : EdgeArmUser@localhost
Type : User
Tenants : {aaaabbbb-0000-cccc-1111-dddd2222eeee}
AccessToken :
Credential :
TenantMap : {}
CertificateThumbprint :
ExtendedProperties : {[Subscriptions, ...], [Tenants, aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e]}
Přihlaste se k jinému prostředí. Ukázkový výstup je uvedený níže.
PS C:\WINDOWS\system32> Login-AzAccount -Environment "AzDBE1" -TenantId $ArmTenantId
Account SubscriptionName TenantId Environment
------- ---------------- -------- -----------
EdgeArmUser@localhost Default Provider Subscription aaaabbbb-0000-cccc-1111-dddd2222eeee AzDBE1
Spuštěním této rutiny potvrďte, ke kterému prostředí jste připojení.
PS C:\WINDOWS\system32> Get-AzContext |fl *
Name : Default Provider Subscription (...) - EdgeArmUser@localhost
Account : EdgeArmUser@localhost
Environment : AzDBE1
Subscription : ...
Tenant : aaaabbbb-0000-cccc-1111-dddd2222eeee
TokenCache : Microsoft.Azure.Commands.Common.Authentication.ProtectedFileTokenCache
VersionProfile :
ExtendedProperties : {}
Nyní jste přešli do zamýšleného prostředí.