azcmagent connect:
Verbindet den Server mit Azure Arc, indem eine Metadatendarstellung des Servers in Azure erstellt und der mit Azure verbundene Computer-Agent zugeordnet wird. Der Befehl erfordert Informationen über den Mandanten, das Abonnement und die Ressourcengruppe, in der Sie den Server in Azure darstellen möchten, und gültige Anmeldeinformationen mit Berechtigungen zum Erstellen von Azure Arc-fähigen Serverressourcen an diesem Speicherort.
Verbrauch
azcmagent connect [authentication] --subscription-id [subscription] --resource-group [resourcegroup] --location [region] [flags]
Beispiele
Verbinden sie einen Server mithilfe der Standardanmeldungsmethode (interaktiver Browser oder Gerätecode).
azcmagent connect --subscription-id "Production" --resource-group "HybridServers" --location "eastus"
azcmagent connect --subscription-id "Production" --resource-group "HybridServers" --location "eastus" --use-device-code
Verbinden eines Servers mithilfe eines Dienstprinzipals
azcmagent connect --subscription-id "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee" --resource-group "HybridServers" --location "australiaeast" --service-principal-id "ID" --service-principal-secret "SECRET" --tenant-id "TENANT"
Verbinden Sie einen Server mithilfe eines privaten Endpunkts und einer Anmeldemethode mit Gerätecode.
azcmagent connect --subscription-id "Production" --resource-group "HybridServers" --location "koreacentral" --use-device-code --private-link-scope "/subscriptions/.../Microsoft.HybridCompute/privateLinkScopes/ScopeName"
Authentifizierungsoptionen
Es gibt vier Möglichkeiten, Authentifizierungsanmeldeinformationen für den mit Azure verbundenen Computer-Agent bereitzustellen. Wählen Sie eine Authentifizierungsoption aus, und ersetzen Sie den [authentication] Abschnitt in der Verwendungssyntax durch die empfohlenen Flags.
Interaktive Browseranmeldung (nur Windows)
Diese Option ist die Standardeinstellung für Windows-Betriebssysteme mit einer Desktopumgebung. Die Anmeldeseite wird in Ihrem Standardwebbrowser geöffnet. Diese Option ist möglicherweise erforderlich, wenn Ihre Organisation Richtlinien für bedingten Zugriff konfiguriert hat, die erfordern, dass Sie sich von vertrauenswürdigen Computern anmelden müssen.
Es ist keine Kennzeichnung erforderlich, um die interaktive Browseranmeldung zu verwenden.
Gerätecodeanmeldung
Diese Option generiert einen Code, mit dem Sie sich über einen Webbrowser auf einem anderen Gerät anmelden können. Dies ist die Standardoption für Windows Server Core-Editionen und alle Linux-Distributionen. Wenn Sie den Verbindungsbefehl ausführen, haben Sie 5 Minuten Zeit, um die angegebene Anmelde-URL auf einem mit dem Internet verbundenen Gerät zu öffnen und den Anmeldevorgang abzuschließen.
Verwenden Sie das --use-device-code Kennzeichen, um sich mit einem Gerätecode zu authentifizieren. Wenn sich das Konto, mit dem Sie sich anmelden, und das Abonnement, bei dem Sie den Server registrieren, nicht im selben Mandanten befinden, müssen Sie auch die Mandanten-ID für das Abonnement --tenant-id [tenant]angeben.
Dienstprinzipal mit Geheimnis
Mit Dienstprinzipalen können Sie sich nicht interaktiv authentifizieren und werden häufig für bereitstellungen im großen Maßstab verwendet, bei denen dasselbe Skript auf mehreren Servern ausgeführt wird. Microsoft empfiehlt, Dienstprinzipalinformationen über eine Konfigurationsdatei bereitzustellen (siehe --config), um zu vermeiden, dass der geheime Schlüssel in allen Konsolenprotokollen verfügbar ist. Der Dienstprinzipal sollte auch für das Arc-Onboarding vorgesehen sein und über so wenige Berechtigungen wie möglich verfügen, um die Auswirkungen einer gestohlenen Anmeldeinformationen einzuschränken.
Um sich mit einem Dienstprinzipal mithilfe eines geheimen Schlüssels zu authentifizieren, stellen Sie die Anwendungs-ID, den geheimen Schlüssel und die Mandanten-ID des Dienstprinzipals bereit: --service-principal-id [appid] --service-principal-secret [secret] --tenant-id [tenantid]
Dienstprinzipal mit Zertifikat
Die zertifikatbasierte Authentifizierung ist eine sicherere Methode zur Authentifizierung mithilfe von Dienstprinzipalen. Der Agent akzeptiert beide PCKS #12 (. PFX-Dateien und ASCII-codierte Dateien (z. B. . . PEM) die sowohl die privaten als auch die öffentlichen Schlüssel enthalten. Das Zertifikat muss auf dem lokalen Datenträger verfügbar sein, und der Benutzer, der den azcmagent Befehl ausführt, benötigt Lesezugriff auf die Datei. Kennwortgeschützte PFX-Dateien werden nicht unterstützt.
Um sich mit einem Dienstprinzipal mithilfe eines Zertifikats zu authentifizieren, stellen Sie die Anwendungs-ID des Dienstprinzipals, die Mandanten-ID und den Pfad zur Zertifikatdatei bereit: --service-principal-id [appId] --service-principal-cert [pathToPEMorPFXfile] --tenant-id [tenantid]
Weitere Informationen finden Sie unter Erstellen eines Dienstprinzipals für RBAC mit zertifikatbasierter Authentifizierung.
Zugriffstoken
Zugriffstoken können auch für die nicht interaktive Authentifizierung verwendet werden, sind jedoch kurzlebig und werden in der Regel von Automatisierungslösungen verwendet, die mehrere Server über einen kurzen Zeitraum integrieren. Sie können ein Zugriffstoken mit Get-AzAccessToken oder einem beliebigen anderen Microsoft Entra-Client abrufen.
Verwenden Sie das --access-token [token] Flag, um sich mit einem Zugriffstoken zu authentifizieren. Wenn sich das Konto, mit dem Sie sich anmelden, und das Abonnement, bei dem Sie den Server registrieren, nicht im selben Mandanten befinden, müssen Sie auch die Mandanten-ID für das Abonnement --tenant-id [tenant]angeben.
Flags
--access-token
Gibt das Microsoft Entra-Zugriffstoken an, das zum Erstellen der Azure Arc-fähigen Serverressource in Azure verwendet wird. Weitere Informationen finden Sie unter Authentifizierungsoptionen.
--automanage-profile
Ressourcen-ID eines Azure Automanage Best Practices-Profils, das auf den Server angewendet wird, sobald es mit Azure verbunden ist.
Beispielwert: /providers/Microsoft.Automanage/bestPractices/AzureBestPracticesProduction
--cloud
Gibt die Azure-Cloudinstanz an. Muss mit der --location Kennzeichnung verwendet werden. Wenn der Computer bereits mit Azure Arc verbunden ist, ist der Standardwert die Cloud, mit der der Agent bereits verbunden ist. Andernfalls lautet der Standardwert "AzureCloud".
Unterstützte Werte:
- AzureCloud (öffentliche Regionen)
- AzureUSGovernment (Azure US Government-Regionen)
- AzureChinaCloud (Microsoft Azure betrieben von 21Vianet-Regionen)
--correlation-id
Gibt den Mechanismus an, der verwendet wird, um den Server mit Azure Arc zu verbinden. Beispielsweise enthalten Skripts, die in der Azure-Portal generiert wurden, eine GUID, die Microsoft hilft, die Nutzung dieser Erfahrung nachzuverfolgen. Dieses Kennzeichen ist optional und wird nur für Telemetriezwecke verwendet, um Ihre Erfahrung zu verbessern.
--ignore-network-check
Weist den Agent an, das Onboarding fortzusetzen, auch wenn die Netzwerküberprüfung auf erforderliche Endpunkte fehlschlägt. Sie sollten diese Option nur verwenden, wenn Sie sicher sind, dass die Ergebnisse der Netzwerküberprüfung falsch sind. In den meisten Fällen weist eine fehlerhafte Netzwerküberprüfung darauf hin, dass der Azure Connected Machine-Agent nicht ordnungsgemäß auf dem Server funktioniert.
-l, --location
Die Azure-Region, mit der die Konnektivität überprüft werden soll. Wenn der Computer bereits mit Azure Arc verbunden ist, wird der aktuelle Bereich als Standard ausgewählt.
Stichprobenwert: Westeuropa
--private-link-scope
Gibt die Ressourcen-ID des privaten Azure Arc-Verknüpfungsbereichs an, der dem Server zugeordnet werden soll. Dieses Kennzeichen ist erforderlich, wenn Sie private Endpunkte verwenden, um den Server mit Azure zu verbinden.
-g, --resource-group
Name der Azure-Ressourcengruppe, in der Sie die Azure Arc-fähige Serverressource erstellen möchten.
Beispielwert: HybridServers
-n, --resource-name
Name für die Azure Arc-fähige Serverressource. Standardmäßig lautet der Ressourcenname:
- Die AWS-Instanz-ID, wenn sich der Server auf AWS befindet
- Der Hostname für alle anderen Computer
Sie können den Standardnamen mit einem Eigenen Namen außer Kraft setzen, um Namenskonflikte zu vermeiden. Nach der Auswahl kann der Name der Azure-Ressource nicht geändert werden, ohne den Agent zu trennen und erneut zu verbinden.
Wenn Sie aws-Server erzwingen möchten, den Hostnamen anstelle der Instanz-ID zu verwenden, übergeben $(hostname) Sie die Shell, damit die Shell den aktuellen Hostnamen auswertet und dies als neuen Ressourcennamen angibt.
Beispielwert: FileServer01
-i, --service-principal-id
Gibt die Anwendungs-ID des Dienstprinzipals an, der zum Erstellen der Azure Arc-fähigen Serverressource in Azure verwendet wird. Muss mit den --tenant-id Und-Kennzeichnungen --service-principal-secret oder --service-principal-cert Flags verwendet werden. Weitere Informationen finden Sie unter Authentifizierungsoptionen.
--service-principal-cert
Gibt den Pfad zu einer Dienstprinzipalzertifikatdatei an. Muss mit den --service-principal-id Kennzeichen verwendet --tenant-id werden. Das Zertifikat muss einen privaten Schlüssel enthalten und kann sich in einem PKCS #12 () befinden. PFX) oder ASCII-codierter Text (. PEM. CRT)-Format. Kennwortgeschützte PFX-Dateien werden nicht unterstützt. Weitere Informationen finden Sie unter Authentifizierungsoptionen.
-p, --service-principal-secret
Gibt den Dienstprinzipalschlüssel an. Muss mit den --service-principal-id Kennzeichen verwendet --tenant-id werden. Um das Verfügbarmachen des geheimen Schlüssels in Konsolenprotokollen zu vermeiden, empfiehlt Microsoft die Bereitstellung des Dienstprinzipalschlüssels in einer Konfigurationsdatei. Weitere Informationen finden Sie unter Authentifizierungsoptionen.
-s, --subscription-id
Der Abonnementname oder die ID, in der Sie die Azure Arc-fähige Serverressource erstellen möchten.
Beispielwerte: Production, aaaaaaaa-bbbb-cccc-ddddd-ee
--tags
Durch Trennzeichen getrennte Liste von Tags, die auf die Azure Arc-fähige Serverressource angewendet werden sollen. Jedes Tag sollte im Format angegeben werden: TagName=TagValue. Wenn der Tagname oder -wert ein Leerzeichen enthält, verwenden Sie einzelne Anführungszeichen um den Namen oder Wert.
Beispielwert: Datacenter=NY3,Application=SharePoint,Owner='Shared Infrastructure Services'
-t, --tenant-id
Die Mandanten-ID für das Abonnement, in dem Sie die Azure Arc-fähige Serverressource erstellen möchten. Diese Kennzeichnung ist beim Authentifizieren mit einem Dienstprinzipal erforderlich. Für alle anderen Authentifizierungsmethoden wird der Homemandant des Kontos, das für die Authentifizierung mit Azure verwendet wird, auch für die Ressource verwendet. Wenn die Mandanten für das Konto und das Abonnement unterschiedlich sind (Gastkonten, Lighthouse), müssen Sie die Mandanten-ID angeben, um den Mandanten zu klären, in dem sich das Abonnement befindet.
--use-device-code
Generieren Sie einen Microsoft Entra-Geräteanmeldungscode, der in einen Webbrowser auf einem anderen Computer eingegeben werden kann, um den Agent bei Azure zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierungsoptionen.
--user-tenant-id
Die Mandanten-ID für das Konto, mit dem der Server mit Azure verbunden wird. Dieses Feld ist erforderlich, wenn der Mandant des Onboarding-Kontos nicht mit dem gewünschten Mandanten für die Azure Arc-fähige Serverressource identisch ist.
Allgemeine Kennzeichnungen, die für alle Befehle verfügbar sind
--config
Verwendet einen Pfad zu einer JSON- oder YAML-Datei, die Eingaben für den Befehl enthält. Die Konfigurationsdatei sollte eine Reihe von Schlüsselwertpaaren enthalten, bei denen der Schlüssel einer verfügbaren Befehlszeilenoption entspricht. Um beispielsweise das --verbose Flag zu übergeben, würde die Konfigurationsdatei wie folgt aussehen:
{
"verbose": true
}
Wenn eine Befehlszeilenoption sowohl im Befehlsaufruf als auch in einer Konfigurationsdatei gefunden wird, hat der in der Befehlszeile angegebene Wert Vorrang.
-h, --help
Erhalten Sie Hilfe zum aktuellen Befehl, einschließlich seiner Syntax und Befehlszeilenoptionen.
-j, --json
Gibt das Befehlsergebnis im JSON-Format aus.
--log-stderr
Leiten Sie Fehler- und ausführliche Nachrichten an den Standardfehlerdatenstrom (Stderr) um. Standardmäßig wird die gesamte Ausgabe an den Standardausgabedatenstrom (Stdout) gesendet.
--no-color
Deaktivieren Sie die Farbausgabe für Terminals, die KEINE ANSI-Farben unterstützen.
-v, --verbose
Zeigen Sie detailliertere Protokollierungsinformationen an, während der Befehl ausgeführt wird. Hilfreich für die Problembehandlung beim Ausführen eines Befehls.