你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
已启用 Azure Arc 的 VMware vSphere 的支持矩阵
本文介绍了使用已启用 Azure Arc 的 VMware vSphere通过 Azure Arc 管理 VMware vSphere VM 的先决条件和支持要求。
若要使用已启用 Arc 的 VMware vSphere，必须在 VMware vSphere 环境中部署 Azure Arc 资源网桥。 资源网桥在 VMware vCenter Server 与 Azure 之间提供持续连接。 将 VMware vCenter Server 连接到 Azure 后，资源网桥上的组件会发现 vCenter 清单。 可以在 Azure 中启用它们，并开始使用 Azure Arc 在其上执行虚拟硬件和来宾 OS 操作。
VMware vSphere 要求
若要使用已启用 Azure Arc 的 VMware vSphere，必须满足以下要求。
支持的 vCenter Server 版本
已启用 Azure Arc 的 VMware vSphere 适用于 vCenter Server 版本 7 和 8。
注意
已启用 Azure Arc 的 VMware vSphere 目前支持具有最多 9500 个 VM 的 vCenter。 如果 vCenter 具有的 VM 超过 9500 个，则此时不建议使用启用了 Arc 的 VMware vSphere。
所需的 vSphere 帐户权限
需要一个可执行以下操作的 vSphere 帐户：
- 读取所有清单。
- 将 VM 部署并更新到要与 Azure Arc 一起使用的所有资源池（或群集）、网络和 VM 模板。
重要
在运行已启用 Azure Arc 的 VMware 加入脚本的过程中，系统将提示你提供一个 vSphere 帐户，以便在 ESXi 主机上部署 Azure Arc 资源网桥 VM。 此帐户将本地存储在 Azure Arc 资源网桥 VM 中，并作为静态 Kubernetes 机密加密。 vSphere 帐户允许已启用 Azure Arc 的 VMware 与 VMware vSphere 交互。 如果你的组织实行常规凭据轮换，则必须更新已启用 Azure Arc 的 VMware 中的凭据，以保持已启用 Azure Arc 的 VMware 与 VMware vSphere 之间的连接。
资源网桥资源要求
对于已启用 Arc 的 VMware vSphere，资源网桥具有以下最低虚拟硬件要求：
- 8 GB 内存
- 4 个 vCPU
- 可直接或通过代理访问 Internet 的外部虚拟交换机。 如果 Internet 访问是通过代理或防火墙进行的，请确保这些 URL 已加入到允许列表中。
资源网桥网络要求
通常，连接要求包括以下原则：
- 除非另有说明，否则所有连接都是 TCP 连接。
- 所有 HTTP 连接都使用 HTTPS 和 SSL/TLS，并带有正式签名和可验证的证书。
- 除非另有说明，否则所有连接都是出站连接。
若要使用代理，请验证执行加入流程的代理和电脑满足本文中所述的网络要求。
Azure Arc 资源网桥 VM 需要以下防火墙 URL 例外：
出站连接性要求
必须将下面的防火墙和代理 URL 加入允许列表中，以便启用从管理计算机、设备 VM 和控制平面 IP 到所需 ARC 资源桥 URL 的通信。
防火墙/代理 URL 允许列表
| 服务 | 端口 | URL | 方向 | 说明 |
|---|---|---|---|---|
| SFS API 终结点 | 443 | msk8s.api.cdp.microsoft.com |
管理计算机和设备 VM IP 需要出站连接。 | 从 SFS 下载产品目录、产品位和 OS 映像。 |
| 资源网桥（设备）映像下载 | 443 | msk8s.sb.tlu.dl.delivery.mp.microsoft.com |
管理计算机和设备 VM IP 需要出站连接。 | 下载 Arc 资源网桥 OS 映像。 |
| Microsoft 容器注册表 | 443 | mcr.microsoft.com |
管理计算机和设备 VM IP 需要出站连接。 | 发现 Arc 资源网桥的容器映像。 |
| Microsoft 容器注册表 | 443 | *.data.mcr.microsoft.com |
管理计算机和设备 VM IP 需要出站连接。 | 下载 Arc 资源网桥的容器映像。 |
| Windows NTP 服务器 | 123 | time.windows.com |
管理计算机和设备 VM IP（如果 Hyper-V 默认值为 Windows NTP）需要在 UDP 上建立出站连接 | 设备 VM 和管理计算机 (Windows NTP) 中的 OS 时间同步。 |
| Azure Resource Manager | 443 | management.azure.com |
管理计算机和设备 VM IP 需要出站连接。 | 管理 Azure 中的资源。 |
| Microsoft Graph | 443 | graph.microsoft.com |
管理计算机和设备 VM IP 需要出站连接。 | Azure RBAC 所需。 |
| Azure Resource Manager | 443 | login.microsoftonline.com |
管理计算机和设备 VM IP 需要出站连接。 | 更新 ARM 令牌所需。 |
| Azure Resource Manager | 443 | *.login.microsoft.com |
管理计算机和设备 VM IP 需要出站连接。 | 更新 ARM 令牌所需。 |
| Azure Resource Manager | 443 | login.windows.net |
管理计算机和设备 VM IP 需要出站连接。 | 更新 ARM 令牌所需。 |
| 资源网桥（设备）数据平面服务 | 443 | *.dp.prod.appliances.azure.com |
设备 VM IP 需要出站连接。 | 与 Azure 中的资源提供程序通信。 |
| 资源网桥（设备）容器映像下载 | 443 | *.blob.core.windows.net, ecpacr.azurecr.io |
设备 VM IP 需要出站连接。 | 需拉取容器映像。 |
| 托管标识 | 443 | *.his.arc.azure.com |
设备 VM IP 需要出站连接。 | 拉取系统分配的托管标识证书时必需。 |
| Azure Arc for Kubernetes 容器映像下载 | 443 | azurearcfork8s.azurecr.io |
设备 VM IP 需要出站连接。 | 拉取容器映像。 |
| Azure Arc 代理 | 443 | k8connecthelm.azureedge.net |
设备 VM IP 需要出站连接。 | 部署 Azure Arc 代理。 |
| ADHS 遥测服务 | 443 | adhs.events.data.microsoft.com |
设备 VM IP 需要出站连接。 | 定期从设备 VM 发送 Microsoft 所需的诊断数据。 |
| Microsoft 事件数据服务 | 443 | v20.events.data.microsoft.com |
设备 VM IP 需要出站连接。 | 从 Windows 发送诊断数据。 |
| Arc 资源网桥的日志收集 | 443 | linuxgeneva-microsoft.azurecr.io |
设备 VM IP 需要出站连接。 | 为设备托管组件推送日志。 |
| 资源网桥组件下载 | 443 | kvamanagementoperator.azurecr.io |
设备 VM IP 需要出站连接。 | 为设备托管组件拉取项目。 |
| Microsoft 开放源代码包管理器 | 443 | packages.microsoft.com |
设备 VM IP 需要出站连接。 | 下载 Linux 安装包。 |
| 自定义位置 | 443 | sts.windows.net |
设备 VM IP 需要出站连接。 | 自定义位置时必需。 |
| Azure Arc | 443 | guestnotificationservice.azure.com |
设备 VM IP 需要出站连接。 | 使用 Azure Arc 时必需。 |
| 自定义位置 | 443 | k8sconnectcsp.azureedge.net |
设备 VM IP 需要出站连接。 | 自定义位置时必需。 |
| 诊断数据 | 443 | gcs.prod.monitoring.core.windows.net |
设备 VM IP 需要出站连接。 | 定期发送 Microsoft 所需的诊断数据。 |
| 诊断数据 | 443 | *.prod.microsoftmetrics.com |
设备 VM IP 需要出站连接。 | 定期发送 Microsoft 所需的诊断数据。 |
| 诊断数据 | 443 | *.prod.hot.ingest.monitor.core.windows.net |
设备 VM IP 需要出站连接。 | 定期发送 Microsoft 所需的诊断数据。 |
| 诊断数据 | 443 | *.prod.warm.ingest.monitor.core.windows.net |
设备 VM IP 需要出站连接。 | 定期发送 Microsoft 所需的诊断数据。 |
| Azure 门户 | 443 | *.arc.azure.net |
设备 VM IP 需要出站连接。 | 从 Azure 门户管理群集。 |
| Azure CLI 和扩展 | 443 | *.blob.core.windows.net |
管理计算机需要出站连接。 | 下载 Azure CLI 安装程序和扩展。 |
| Azure Arc 代理 | 443 | *.dp.kubernetesconfiguration.azure.com |
管理计算机需要出站连接。 | 用于 Arc 代理的数据平面。 |
| Python 包 | 443 | pypi.org、*.pypi.org |
管理计算机需要出站连接。 | 验证 Kubernetes 和 Python 版本。 |
| Azure CLI | 443 | pythonhosted.org、*.pythonhosted.org |
管理计算机需要出站连接。 | 用于 Azure CLI 安装的 Python 包。 |
入站连接性要求
必须在管理计算机、设备 VM IP 和控制平面 IP 中允许以下端口之间的通信。 确保这些端口已打开，并且流量不会通过代理路由，以便于部署和维护 Arc 资源网桥。
| 服务 | 端口 | IP/计算机 | 方向 | 说明 |
|---|---|---|---|---|
| SSH | 22 | appliance VM IPs 和 Management machine |
双向 | 用于部署和维护设备 VM。 |
| Kubernetes API 服务器 | 6443 | appliance VM IPs 和 Management machine |
双向 | 设备 VM 的管理。 |
| SSH | 22 | control plane IP 和 Management machine |
双向 | 用于部署和维护设备 VM。 |
| Kubernetes API 服务器 | 6443 | control plane IP 和 Management machine |
双向 | 设备 VM 的管理。 |
| HTTPS | 443 | private cloud control plane address 和 Management machine |
管理计算机需要出站连接。 | 与控制平面（例如 VMware vCenter 地址）通信。 |
此外，VMware vSphere 需要以下项：
| 服务 | 端口 | URL | 方向 | 说明 |
|---|---|---|---|---|
| vCenter Server | 443 | vCenter 服务器的 URL | 设备 VM IP 和控制平面终结点需要出站连接。 | 由 vCenter 服务器用来与设备 VM 和控制平面通信。 |
| VMware 群集扩展 | 443 | azureprivatecloud.azurecr.io |
设备 VM IP 需要出站连接。 | 拉取 Microsoft.VMWare 和 Microsoft.AVS 群集扩展的容器映像。 |
| Azure CLI 和 Azure CLI 扩展 | 443 | *.blob.core.windows.net |
管理计算机需要出站连接。 | 下载 Azure CLI 安装程序和 Azure CLI 扩展。 |
| Azure Resource Manager | 443 | management.azure.com |
管理计算机需要出站连接。 | 在 Azure 中使用 ARM 创建/更新资源时需要。 |
| Azure Arc 代理的 Helm 图表 | 443 | *.dp.kubernetesconfiguration.azure.com |
管理计算机需要出站连接。 | 用于下载 Arc 代理配置信息的数据平面终结点。 |
| Azure CLI | 443 | - login.microsoftonline.com - aka.ms |
管理计算机需要出站连接。 | 提取和更新 Azure 资源管理器令牌所需的终结点。 |
有关 Azure ARC 功能和支持 Azure ARC 的服务的网络要求的完整列表，请参阅 AzureARC 网络要求（合并）。
Azure 角色/权限要求
与已启用 Arc 的 VMware vSphere 相关的操作所需的最低 Azure 角色如下所示：
| 操作 | 所需的最低角色 | 范围 |
|---|---|---|
| 将 vCenter Server 加入到 Arc | Azure Arc VMware 私有云加入 | 在要加入到的订阅或资源组上 |
| 管理启用了 Arc 的 VMware vSphere | Azure Arc VMware 管理员 | 在创建 vCenter 服务器资源的订阅或资源组上 |
| VM 预配 | Azure Arc VMware 私有云用户 | 在包含资源池/群集/主机、数据存储和虚拟网络资源的订阅或资源组上，或在资源本身上 |
| VM 预配 | Azure Arc VMware VM 参与者 | 在要预配 VM 的订阅或资源组上 |
| VM 操作 | Azure Arc VMware VM 参与者 | 在包含 VM 的订阅或资源组上，或在 VM 本身上 |
在同一作用域上具有更高权限的任何角色（如“所有者”或“参与者”）也允许你执行上面列出的操作。
来宾管理（Arc 代理）要求
使用已启用 Arc 的 VMware vSphere，可以在 VM 上大规模安装 Azure Connected Machine Agent，并在这些 VM 上使用 Azure 管理服务。 此功能还有其他要求。
若要启用来宾管理（安装 Arc Connected Machine Agent），请确保满足以下条件：
- VM 已开机。
- VM 已安装并正在运行 VMware 工具。
- 资源网桥有权访问运行 VM 的主机。
- VM 正在运行受支持的操作系统。
- VM 直接或通过代理建立 Internet 连接。 如果连接通过代理，请确保这些 URL 已加入允许列表中。
此外，请确保满足以下要求才能启用来宾管理。
支持的操作系统
请确保使用的是Azure Connected Machine Agent 正式支持的 Windows 或 Linux 操作系统版本。 仅支持 x86-64（64 位）体系结构。 x86（32 位）和基于 ARM 的体系结构（包括 arm64 上的 x86-64 仿真）并非受支持的运行环境。
软件要求
Windows 操作系统：
- 需要 .NET Framework 4.6 或更高版本。 下载 .NET Framework。
- 需要 Windows PowerShell 5.1。 下载 Windows Management Framework 5.1。
Linux 操作系统：
- systemd
- wget（用于下载安装脚本）
网络要求
Azure Arc 代理需要以下防火墙 URL 例外：
| URL | 描述 |
|---|---|
aka.ms |
用于在安装过程中解析下载脚本 |
packages.microsoft.com |
用于下载 Linux 安装包 |
download.microsoft.com |
用于下载 Windows 安装包 |
login.windows.net |
Microsoft Entra ID |
login.microsoftonline.com |
Microsoft Entra ID |
pas.windows.net |
Microsoft Entra ID |
management.azure.com |
Azure 资源管理器 - 创建或删除 Arc 服务器资源 |
*.his.arc.azure.com |
元数据和混合标识服务 |
*.guestconfiguration.azure.com |
扩展管理和来宾配置服务 |
guestnotificationservice.azure.com、*.guestnotificationservice.azure.com |
扩展和连接方案的通知服务 |
azgn*.servicebus.windows.net |
扩展和连接方案的通知服务 |
*.servicebus.windows.net |
对于 Windows Admin Center 和 SSH 方案 |
*.blob.core.windows.net |
下载启用了 Azure Arc 的服务器扩展的源 |
dc.services.visualstudio.com |
代理遥测 |