Archivi categoria: Datacenter Management

Azure Management services: le novità di febbraio 2022

Il mese di febbraio è stato ricco di novità e diversi sono gli aggiornamenti che hanno interessato gli Azure management services. In questo articolo viene fatta una panoramica complessiva delle principali novità del mese, in modo da poter rimanere aggiornati su questi argomenti ed avere i riferimenti necessari per condurre ulteriori approfondimenti.

Il diagramma seguente mostra le diverse aree relative al management, che sono contemplate in questa serie di articoli, per poter rimanere aggiornati su questi temi ed effettuare al meglio il deployment ed il mantenimento delle applicazioni e delle risorse.

Figura 1 – Overview dei Management services in Azure

Monitor

Azure Monitor

Azure Monitor Agent: nuova funzionalità per aggiornare l’extension in automatico

Con il nuovo agente di Azure Monitor è possibile ottenere aggiornamenti importanti e security fix abilitando la funzione di aggiornamento automatico dell’extension all’interno dell’agente. In sostanza, quando viene pubblicato un aggiornamento, l’extension aggiorna e sostituisce la versione esistente presente nella macchina virtuale o nello scale set.

Azure Monitor Agent: miglioramento della conformità Syslog RFC

L’ultima versione dell’agente di Azure Monitor è ora in grado di raccogliere eventi syslog dai seguenti fornitori, tipi di dispositivi e formati standard:

Cisco Meraki, ASA, FTD
Sophos XG
Juniper Networks
Corelight Zeek
CipherTrust
NXLog
McAfee
CEF (Common Event Format)

Monitor di Azure IoT Edge

Grazie ad una profonda integrazione con Azure Monitor è possibile semplificare il monitor dei dispositivi Azure IoT Edge, tramite un set di metriche integrate, il modulo IoT Edge Metrics Collector ed un set di “curated visualization”. Mediante questa integrazione è possibile:

Analizzare l’efficienza della soluzione
Scegliere l’hardware per soddisfare le richieste di prestazioni dei dispositivi
Monitorare le risorse bloccate
Identificare in modo proattivo i problemi
Risolvere rapidamente i problemi
Creare metriche e dashboard personalizzate

Possibilità di impostare un range temporale esatto nelle query

Nelle query sui workspace di Log Analytics è ora possibile specificare un time range specifico, in questo modo è possibile fare ricerche puntuali ed in modo più mirato.

Le Azure Monitor ‘action rules’ ora sono ‘alert processing rules’

Microsoft ha rinominato le ‘action rule” di Azure Monitor in “alert processing rules”, che continueranno a fornire funzionalità di post-elaborazione per gli alert attivati in Azure Monitor.

Log Analytics data export

La nuova funzionalità di esportazione dei dati di Log Analytics di Azure Monitor consente di inviare dati di log non solo ai workspace di Log Analytics, ma anche a uno storage account oppure a Event Hub. Inoltre, i dati possono essere trasmessi continuamente dalle tabelle di Log Analytics a uno storage account oppure a Event Hub se Microsoft ha abilitato il supporto dello streaming per quei tipi di tabelle.

Custom retention per le tabelle AzureActivity e Usage

In Azure Monitor è stata introdotta la possibilità di impostare una conservazione custom per le tabelle AzureActivity e Usage presenti nei workspace di Log Analytics . In precedenza, AzureActivity e Usage avevano un minimo di conservazione di 90 giorni e tali dati non potevano essere impostati con una conservazione specifica. Ora la conservazione minima per tali tabelle rimane di 90 giorni, utile a fini di audit e troubleshooting, ma si può personalizzare il periodo di retention.

Possibilità di testare gli Action Group (preview)

Per gli action group di Azure Monitor è stata introdotta la possibilità di testare le impostazioni di notifica per gli alert, in modo da:

Verificare se le notifiche funzionano come previsto durante la creazione o l’aggiornamento di un action group
Autodiagnosticare la causa delle notifiche che non funzionano come previsto

Scalabilità automatica predittiva di Azure Monitor per i VM Scale Set (preview)

La scalabilità automatica predittiva, rilasciata in preview, usa algoritmi di machine learning per gestire e ridimensionare i Virtual Machine Scale Set. Questo meccanismo consente di prevedere il carico complessivo della CPU sui Virtual Machine Scale Set, in base ai modelli storici di utilizzo della CPU. In questo modo lo scale-out avviene in tempo per soddisfare la domanda.

Govern

Azure Cost Management

Rilevamento delle anomalie

In Azure Cost Management è stato introdotto il rilevamento delle anomalie. Grazie a questa funzionalità è possibile consultare eventuali anomalie sui costi, rilevate dallo strumento nelle subscription Azure, in uno specifico periodo.

Gestione componenti enterprise agreement in Azure Cost Management and Billing

In Azure Cost Management and Billing è ora possibile creare, gestire e governare departments, accounts, e subscriptions afferenti ai contratti di enterprise agreement. In particolare, dal portale Azure è possibile svolgere le seguenti attività:

Gestire i ruoli del contratto enterprise agreement
Creare e gestire la gerarchia a livello di enrollment (department, account, subscription)
Visualizzare le proprietà e gestire le policy
Visualizzare l’utilizzo e gli addebiti
Scaricare le fattura
Visualizzare e monitorare il saldo Microsoft Azure Consumption Commitment (MACC)

Aggiornamenti relativi ad Azure Cost Management and Billing

Microsoft è costantemente alla ricerca di nuove metodologie per migliorare Azure Cost Management and Billing, la soluzione per fornire una maggiore visibilità su dove si stanno accumulando costi nel cloud, identificare e prevenire modelli di spesa errati ed ottimizzare i costi . In questo articolo sono riportati alcuni degli ultimi miglioramenti ed aggiornamenti riguardanti questa soluzione.

Secure

Microsoft Defender for Cloud

Nuove funzionalità, correzioni di bug e funzionalità deprecate di Microsoft Defender for Cloud

Lo sviluppo di Microsoft Defender for Cloud è in costante evoluzione e vengono introdotti miglioramenti su base continua. Per rimanere aggiornati sugli sviluppi più recenti, Microsoft aggiorna questa pagina, che fornisce informazioni su nuove funzionalità, correzioni di bug e funzionalità deprecate. In particolare, questo mese le principali novità riguardano:

Protect

Azure Backup

Possibilità di effettuare più backup di Azure File nel corso della giornata

In Azure Backup è ora possibile effettuare backup multipli durante il giorno, con una frequenza massima di quattro ore, per acquisire più snapshot della condivisione file. Questa funzionalità consente di definire una pianificazione dei backup in linea con l’orario di lavoro, utile in presenza di aggiornamenti frequenti al contenuto di Azure File. Inoltre, è possibile usare Powershell o l’interfaccia da riga di comando di Azure per creare policy di backup per generare più snapshot durante il giorno secondo la pianificazione definita.

Long term retention per i backup di Azure PostgreSQL

Azure Backup per PostgreSQL è una soluzione scalabile che non richiede la presenza di una infrastruttura, degli agenti o degli storage account, fornendo al contempo un’esperienza semplice e coerente per gestire e monitorare centralmente i backup. Per questa soluzione è stato introdotto il supporto per l’archiviazione dei backup a lungo termine.

Miglioramenti del backup automatico per SQL Server a bordo di macchine virtuali

Il backup automatico di Azure Backup, una funzionalità data dall’extension dell’agente SQL IaaS, fornisce un servizio di backup automatico per SQL Server a bordo di macchine virtuali Azure. A questa funzionalità sono stati aggiunti i seguenti miglioramenti:

Maggiore durata di conservazione dei backup nello storage account, passando da 30 giorni a 90 giorni.
Possibilità di scegliere per ogni macchina virtuale di Azure un container specifico dello storage account come destinazione dei backup. In precedenza, era consentito solo di specificare uno storage account e tutti i backup confluivano nello stesso container.

Restore point cross region per le macchine virtuali

I restore point di una macchina virtuale sono snapshot che contengono i metadati della macchina virtuale e sono consistenti per tutti i dischi ad essa associati. Questi punti di ripristino possono essere utilizzati per proteggere i workload dalla perdita e dal danneggiamento dei dati. Ora è possibile effettuare i restore point della macchina virtuale in qualsiasi region, indipendentemente dalla region in cui è distribuita la macchina virtuale.

Azure Site Recovery

Recovery point estesi a 15 giorni

Azure Site Recovery mediante delle policy di replica consente di regolare la cronologia di conservazione dei recovery point. Ora viene consentito di mantenere i recovery point fino a 15 giorni invece di 72 ore. I recovery point verranno conservati con una frequenza di 5 minuti per le prime 2 ore. Successivamente, verranno eliminati e archiviati con una frequenza minore. È possibile immettere qualsiasi valore compreso tra 0 e 15 giorni per configurare il periodo di conservazione in una policy di retention. Inoltre, se necessario, è possibile abilitare i recovery point di tipologia “application-consistent” (disabilitati di default).

Nuovo Update Rollup

Per Azure Site Recovery è stato rilasciato l’Update Rollup 60 che risolve diverse problematiche e introduce alcuni miglioramenti. I relativi dettagli e la procedura da seguire per l’installazione è consultabile nella KB specifica.

Valutazione di Azure

Per testare e valutare in modo gratuito i servizi offerti da Azure è possibile accedere a questa pagina.

Azure IaaS and Azure Stack: announcements and updates (February 2022 – Weeks: 07 and 08)

This series of blog posts includes the most important announcements and major updates regarding Azure infrastructure as a service (IaaS) and Azure Stack, officialized by Microsoft in the last two weeks.

Azure

Compute

Hotpatch for Windows Server virtual machines

You can patch and install updates to your Windows Server virtual machines on Azure without requiring a reboot using hotpatch. This capability is available exclusively as part of Azure Automanage for Windows Server for Windows Server Azure Edition core virtual machines, and comes with the following benefits:

Lower workload impact with less reboots
Faster deployment of updates as the packages are smaller, install faster, and have easier patch orchestration with Azure Update Manager
Better protection, as the Hotpatch update packages are scoped to Windows security updates that install faster without rebooting

Virtual Machine level disk bursting supports additional VM types

Virtual Machine level disk bursting supports M-series, Msv2-series Medium Memory, and Mdsv2-series Medium Memory VM families allowing your virtual machine to burst its disk IO and throughput performance for a short time, daily. This enables VMs to handle unforeseen spiky disk traffic smoothly and process batched jobs with speed. There is no additional cost associated with this new capability or adjustments on the VM pricing and it comes enabled by default.

Automatically delete a VM and its associated resources simultaneously

Automatically delete disks, NICs and Public IPs associated with a VM at the same time you delete the VM. With this feature, you can specify the associated resources that should be automatically deleted when you delete a VM. This will allow you to save time and simplify the VM management process.

Storage

Azure NetApp Files: new region and cross-region replication

Azure NetApp Files is now available in Australia Central 2. Additionally, cross-region replication has been enabled between Australia Central and Australia Central 2 region pair.

Azure NetApp Files: application consistent snapshot tool v5.1 (preview)

Application consistent snapshot tool (AzAcSnap) v5.1 is a command-line tool enables you to simplify data protection for third-party databases (SAP HANA) in Linux environments (for example, SUSE and RHEL).

The public preview of application consistent snapshot tool v5.1 supports the following new capabilities:

Oracle Database support
Backint Co-existence
RunBefore and RunAfter capability

These new features can be used with Azure NetApp Files, Azure BareMetal, and now, Azure Managed Disk.

Networking

Application Gateway mutual authentication

Azure Application Gateway is announcing general availability for transport layer security (TLS) mutual authentication. Mutual authentication allows for two-way TLS certificate-based authentication, which allows both client and server to verify each other’s identity. This release strengthens your zero trust networking posture and enables many connected devices, IoT, business to business, and API security scenarios.

You can upload multiple client certificate authority (CA) certificate chains on the Application Gateway to use for client authentication. You can also choose to enable frontend mutual authentication at a per-listener level on Application Gateway. Microsoft is also adding enhancements to server variables supported on Application Gateway to enable you to pass additional client certificate information to backend as HTTP headers.

With this release Microsoft is also extending support for listener specific TLS policies which allows you to configure predefined or custom TLS policies at a per listener granularity, instead of global TLS policies.

Come eseguire nativamente i workload VMware in Azure

Le realtà aziendali dovrebbero adottare soluzioni flessibili e all’avanguardia per ottenere una maggiore stabilità, continuità e resilienza dei principali workload applicativi che sostengono il loro core business. Azure VMware Solution (AVS) è il servizio progettato, realizzato e supportato da Microsoft, e approvato da VMware, che consente ai clienti di estendere agilmente oppure di migrare completamente verso Azure le loro applicazioni VMware che risiedono on-premises. In questo articolo vengono riportati i principali aspetti di questa soluzione che consente di beneficiare dell’efficienza del cloud pubblico di Microsoft, pur mantenendo una coerenza operativa con l’ambiente VMware.

Che cos’è Azure VMware Solution (AVS)?

Azure VMware Solution (AVS) è un servizio che consente il provisioning e l’esecuzione di un ambiente VMware Cloud Foundation completo su Azure. VMware Cloud Foundation è la piattaforma hybrid cloud di VMware per la gestione delle macchine virtuali e l’orchestrazione dei container, dove l’intero stack è basato su una infrastruttura hyperconverged (HCI). Questo modello di architettura assicura un’infrastruttura e operation coerenti su qualsiasi cloud privato e pubblico, tra i quali Microsoft Azure.

Figura 1 – Panoramica di Azure VMware Solution

La soluzione Azure VMware permette ai clienti l’adozione di un set completo di funzionalità VMware, con la garanzia di detenere la convalida “VMware Cloud Verified”. Grazie a questa soluzione è quindi possibile ottenere coerenza, prestazioni e interoperabilità per i carichi di lavoro VMware esistenti, senza rinunciare alla velocità, scalabilità e disponibilità dell’infrastruttura globale di Azure.

Un Azure VMware Solution Private Cloud comprende:

Server bare-metal dedicati forniti con hypervisor VMware ESXi
vCenter server per la gestione di ESXi e della vSAN
VMware NSX-T software defined networking per le VMs vSphere
VMware vSAN datastore per le VMs vSphere
VMware HCX per la gestione della mobilità dei workload

Figura 2 – Macro-architettura di Azure VMware Solution

Su queste infrastrutture sarà possibile creare, distribuire oppure migrare macchine virtuali VMware, ma con il vantaggio di utilizzare anche i vari servizi offerti da Azure.

Principali scenari di adozione

L’adozione della soluzione Azure VMware può avvenire per far fronte ai seguenti scenari:

Necessità di una espansione del proprio datacenter
Disaster recovery e business continuity
Modernizzazione delle applicazioni
Riduzione, consolidamento oppure dismissione del proprio datacenter

Grazie a questa soluzione è possibile ridistribuire le proprie macchine virtuali basate su VMware in modo automatizzato, scalabile e altamente disponibile senza modificare l’hypervisor vSphere sottostante. La migrazione dei sistemi può avvenire adottando soluzioni native di VMware (VMware HCX) oppure tramite Azure Migrate.

Benefici della soluzione

Tra i principali benefici nell’adozione di questa soluzione è possibile citare:

Possibilità di sfruttare gli investimenti già effettuati per quanto riguarda le competenze e gli strumenti per la gestione degli ambienti VMware on-premises.
Modernizzazione dei propri workload applicativi adottando i servizi Azure e senza dover affrontare interruzioni.
Convenienza economica in particolare per l’esecuzione di workload Windows e SQL Server. Infatti, i clienti che adottano questa soluzione hanno diritto a tre anni di aggiornamenti di sicurezza estesa gratuiti per Windows Server e SQL Server. Inoltre, trattandosi a tutti gli effetti di un servizio Azure, Azure VMware Solution supporta gli Azure Hybrid Benefit, che consentono di massimizzare gli investimenti fatti in licenze di Windows Server e SQL Server locali durante la migrazione oppure l’estensione verso Azure. Infine, si può ottenere un beneficio economico acquistando Reserved Instances (a 1 oppure 3 anni) per risparmiare sui costi dei nodi di Azure VMware Solution.

Caratteristiche della soluzione

L’infrastruttura Azure Private Cloud contiene cluster vSphere su sistemi bare metal dedicati, in grado di scalare da 3 a 16 host. Viene inoltre fornita la possibilità di avere più cluster in un unico Azure Private Cloud. Gli host sono di fascia alta e dotati di due processori Intel 18 core da 2,3 GHz e 576 GB di RAM.

Storage

Gli Azure Private Cloud forniscono storage a livello di cluster tramite tecnologia software-defined VMware vSAN. Tutto lo storage locale di ogni host in un cluster viene utilizzato in un datastore vSAN e la crittografia dei dati at-rest è abilitata di default. Sul datastore della vSAN è inoltre abilitata la deduplica e la compressione del dato.

Tutti i disk group utilizzano una cache NVMe di 1,6 TB con una capacità raw di 15,4 TB per host, basata su dischi SSD. La capacità raw di un cluster è data dalla capacità per host moltiplicata per il numero di nodi.

Per estendere le capacità di archiviazione di questi cloud privati è possibile utilizzare le risorse di archiviazione di Azure. Per maggiori informazioni relative allo storage è possibile consultare la documentazione specifica Microsoft.

Networking

La soluzione offre un ambiente private cloud accessibile da risorse locali e basate su Azure. Servizi come Azure ExpressRoute, connessioni VPN o Azure Virtual WAN sono necessari per garantire la connettività.

In particolare, per connettere i componenti fisici alla dorsale di Azure viene utilizzato ExpressRoute. Poiché i Virtual Network Gateway connessi a un circuito ExpressRoute non possono far transitare il traffico tra due circuit (un circuit andrà verso l’ambiente on-premises e uno andrà alla soluzione VMware di Azure) Microsoft utilizza la funzionalità ExpressRoute Global Reach per connettere direttamente il circuito locale ad AVS.

Figura 3 – Networking di Azure VMware Solution

Se ExpressRoute Global Reach non è attivabile è possibile valutare l’adozione di una soluzione di routing usando appliance di terze parti (NVA) oppure Azure Virtual WAN. Nello scenario con le NVA diventa utile Azure Route Server, che semplifica il routing dinamico tra l’appliance virtuale di rete (NVA) e la virtual network di Azure. Azure Route Server consente di scambiare le informazioni di instradamento direttamente tramite il protocollo di Border Gateway Protocol (BGP) tra qualsiasi NVA (che supporta tale protocollo) e la virtual network di Azure, senza la necessità di configurare o mantenere le tabelle di routing.

Quando si attiva un Azure Private Cloud con Azure VMware Solution vengono create reti private per la gestione, il provisioning e per la funzionalità vMotion.

Per ulteriori approfondimenti in merito al networking è possibile consultare la documentazione Microsoft e questo documento dove vengono riportati maggiori dettagli sui possibili scenari per garantire la connettività.

Accesso e sicurezza

Al fine di ottenere una maggiore sicurezza, i cloud privati della soluzione Azure VMware utilizzano un controllo degli accessi basato sui ruoli di vSphere. Le funzionalità LDAP di vSphere SSO possono essere integrate con Azure Active Directory. Per ulteriori informazioni a riguardo è possibile consultare questo documento Microsoft.

Gestione degli aggiornamenti e della manutenzione della soluzione

Uno dei principali vantaggi di questa soluzione è dato dal fatto che la piattaforma viene mantenuta da Microsoft e sono contemplati degli aggiornamenti automatici e regolari, che garantiscono i più recenti set di funzionalità ed una maggiore sicurezza e stabilità.

I componenti della soluzione Azure VMware soggetti agli aggiornamenti sono i seguenti:

vCenter ed ESXi
vSAN
NSX-T
Hardware sottostante con driver e firmware dei nodi bare metal e degli switch di rete

Nella soluzione Azure VMware vengono applicati i seguenti aggiornamenti:

Patch di sicurezza e per le correzioni di bug rilasciate da VMware.
Aggiornamenti di versione principali e minori dei componenti VMware.

Oltre ad eseguire gli aggiornamenti, la soluzione Azure VMware prevede anche un backup della configurazione di seguenti componenti VMware:

vCenter Server
NSX-T Manager

Ulteriori dettagli sulla manutenzione e sugli aggiornamenti della piattaforma sono disponibili in questo articolo Microsoft.

Supporto e responsabilità

Azure VMware Solution è validata, supportata e certificata da VMware e da Microsoft. Il supporto della soluzione viene erogato da Microsoft che risulta essere sempre il primo ed unico punto di contatto per il cliente. In caso di necessità Microsoft si coordinerà con il supporto VMware per problemi specifici riguardanti le soluzioni VMware.

Azure VMware Solution utilizza un modello di responsabilità condivisa secondo la matrice in seguito riportata:

Figura 4 – Azure VMware Solution: matrice di responsabilità condivisa

Sicurezza della soluzione

Azure VMware Solution può contare su un elevato grado di sicurezza costituito dai seguenti fattori:

Figura 5 – Fattori che costituiscono la sicurezza di Azure VMware Solution

Disponibilità della soluzione

La soluzione può essere adottata in ambienti di produzione ed è attualmente disponibile su diverse region Azure, consultabili a questo indirizzo.

Monitor della soluzione

Il monitor completo della soluzione può avvenire tramite Azure Monitor che, in seguito all’attivazione della soluzione nella subscription Azure, inizia in automatico a collezionare i relativi log. Inoltre, è possibile installare l’agente di Azure Monitor sulle macchine virtuali Linux e Windows ospitate nei cloud privati della soluzione Azure VMware, nonché abilitare l’Azure diagnostics extension.

Conclusioni

Grazie alla stretta collaborazione tra Microsoft e VMware questa soluzione offre ai clienti che già dispongono di un ambiente VMware on-premises le stesse possibilità anche nel cloud pubblico di Microsoft, potendo in più adottare la vasta gamma di servizi offerti da Azure. Inoltre, questa soluzione permette di usufruire di un modello operativo coerente che può aumentare l’agilità, la velocità di distribuzione e la resilienza dei propri workload business critical.

Azure IaaS and Azure Stack: announcements and updates (February 2022 – Weeks: 05 and 06)

Azure

Compute

Deployment enhancements for SQL Server on Azure Virtual Machines

A great update to our Azure Marketplace image with SQL is you can now configure the instance during deployment. Most companies have standards for their SQL instances and can now make configuration changes during deployment vs keeping the preconfigured image settings. Items like moving the system database to a data disk, configuring tempdb data and log files, configuring the amount of memory and more. During SQL VM deployment under SQL Server Settings, you have the options to change the defaults by clicking Change Configuration for storage or Change SQL Instance settings for customizing memory limits, collation, and ad hoc workloads.

Networking

New Azure Firewall capabilities

New Azure Firewall capabilities are available:

Azure Firewall network rule name logging: previously, the event of a network rule hit would show the source, destination IP/port, and the action, allow or deny. With the new functionality, the event logs for network rules will also contain the policy name, Rule Collection Group, Rule Collection, and the rule name hit.
Azure Firewall premium performance boost: this feature increases the maximum throughput of the Azure Firewall Premium by more than 300 percent (to 100Gbps).
Performance whitepaper: to provide customers with a better visibility into the expected performance of Azure Firewall, Microsoft is releasing the Azure Firewall Performance documentation.

Azure Bastion now supports file transfer via the native client (preview)

With the new Azure Bastion native client support in public preview and included in Standard SKU, you can now:

Use either SSH or RDP to upload files to a VM from your local computer.
Use RDP to download files from a VM to your local computer.

Custom virtual network support in Azure Container Apps (preview)

You can now create Azure Container Apps environments into new or existing virtual networks. This enables Container Apps to receive private IP addresses, maintain outbound internet connectivity, and communicate privately with other resources on the same virtual network.

Azure IaaS and Azure Stack: announcements and updates (January 2022 – Weeks: 03 and 04)

Azure

Storage

Azure NetApp Files: new features

New features are constantly added to Azure NetApp Files and previously released preview features are moved into general availability. The following capabilities have recently received general availability status and no longer need registration for use:

The following new features have been added in public preview :

Regional coverage continues to expand, and Azure NetApp Files is now generally available in:

East Asia
Switzerland North
Switzerland West
West US 3

Feature regional coverage continues to expand as well for cross-region replication, cross region replication region pair additions:

West US 3 <-> East US
Southeast Asia <-> East Asia
Switzerland North <-> Switzerland West
UsGov Virginia <-> UsGov Texas
UsGov Arizona <-> UsGov Texas
UsGov Virginia <-> UsGov Arizona

Azure Management services: le novità di gennaio 2022

Il nuovo anno è iniziato con diversi annunci da parte di Microsoft riguardanti novità relative agli Azure management services. Il rilascio mensile di questo riepilogo consente di avere una panoramica complessiva delle principali novità del mese, in modo da rimanere sempre aggiornati su questi argomenti ed avere i riferimenti necessari per condurre ulteriori approfondimenti.

Monitor

Azure Monitor

Novità riguardanti gli alert di Azure Monitor

In Azure Monitor sono state introdotte le seguenti novità in merito agli alert:

Frequenza di 1 minuto per gli alert log. Gli alert log consentono agli utenti di utilizzare una query di Log Analytics per valutare, con una frequenza impostata, i log delle risorse e attivare un alert in base ai risultati ottenuti. Le regole possono attivare una o più azioni utilizzando gli Action Group. Ora si ha la possibilità di valutare la query di alert ogni minuto, riducendo così il tempo complessivo per l’attivazione di un alert log. Adottando questa frequenza di valutazione è opportuno tenere in considerazione che si ha un impatto anche sui costi di Azure Monitor.
Nuova modalità di creazione delle alert rule: l’esperienza di creazione di una alert rule si è trasformata da un processo articolato in una procedura guidata semplice e intuitiva.

Nuovo agente: supporto per i Private Link

Il nuovo agente di Azure Monitor ha introdotto il supporto per le configurazioni di rete tramite private link. Questa configurazione consente di operare in ambienti con restrizioni che richiedono requisiti di rete speciali ed un elevato grado di isolamento.

Nuova versione dell’agente per sistemi Linux

Questo mese è stata rilasciata una nuova versione dell’agente di Log Analytics per sistemi Linux grazie al quale vengono introdotti diversi miglioramenti e una maggiore stabilità.

Govern

Azure Cost Management

Miglioramenti nelle raccomandazioni di Azure Advisor per le macchine virtuali

In Azure è stata migliorata la raccomandazione di Azure Advisor denominata “Shutdown/Resize your virtual machines”. Questa raccomandazione offre ai clienti l’opportunità di risparmiare sui costi prendendo di mira le macchine virtuali che non vengono utilizzate in modo efficiente.

Tra i principali miglioramenti apportati troviamo:

Ridimensionamento delle serie tra SKU differenti: fino a questa nuova versione, i consigli per il ridimensionamento forniti da Azure Advisor erano principalmente all’interno della stessa famiglia di SKU. Questo significa che se si stava utilizzando una D3 v2 in modo inefficiente, veniva consigliata un D2 v2 oppure una D1 v2, ovvero una SKU più piccola ma all’interno della stessa famiglia. Ora le raccomandazioni tengono in considerazione, per aumentare i risparmi, la possibilità di spostarsi in famiglie differenti andando ad utilizzare SKU che si adattano perfettamente al workload sulla base dei dati raccolti.
Adozione delle nuove versioni delle famiglie di SKU: in generale, le versioni più recenti delle famiglie di SKU sono più ottimizzate, offrono più funzionalità e un rapporto prestazioni/costo migliore rispetto alle versioni precedenti. Se viene rilevato che il workload è in esecuzione su una versione precedente e può ottenere vantaggi in termini di costi senza influire sulle prestazioni su una versione più recente, viene segnalato da Azure Advisor.
Miglioramenti sulla qualità delle segnalazioni: Microsoft ha ricevuto il feedback che alcune raccomandazioni non erano attuabili in quanto non tenevano in considerazione determinati criteri. Per migliorare quindi la qualità delle raccomandazioni ora vengono generate tenendo in considerazione ancora più caratteristiche, come il supporto di rete accelerato, il supporto allo storage premium, la disponibilità in una regione, l’inclusione in un availability set, ecc. . Inoltre, per aumentare la qualità, la robustezza e l’applicabilità delle raccomandazioni è stato completamente rinnovato l’intero motore delle raccomandazioni per basarlo su nuovi algoritmi di machine learning automatici e all’avanguardia.

Multitasking nell’analisi dei costi (preview)

Azure Cost Management introduce una nuova esperienza di analisi dei costi che consente di effettuarle in modo più efficace. L’anteprima include una nuova esperienza a tab per semplificare l’analisi. Iniziando da un elenco delle viste integrato è possibile aprire più tab per esplorare contemporaneamente diversi aspetti dei costi.

Aggiornamenti relativi ad Azure Cost Management and Billing

Secure

Microsoft Defender for Cloud

Nuove funzionalità, correzioni di bug e funzionalità deprecate di Microsoft Defender for Cloud

Microsoft Defender per Resource Manager è stato aggiornato con nuovi alert ed è stata introdotta una maggiore enfasi sulle operazioni ad alto rischio mappate su MITRE ATT&CK® Matrix
Introdotte raccomandazioni per abilitare i piani di Microsoft Defender sui workspace (preview)
Provisioning automatico dell’agente di Log Analytics su macchine abilitate per Azure Arc (preview)

Protect

Azure Backup

Cambiamenti nelle impostazioni di sicurezza

Azure Backup ha recentemente rilasciato le seguenti modifiche riguardanti le impostazioni di sicurezza per i workload protetti tramite Microsoft Azure Recovery Service Agent, Azure Backup Server, oppure System Center Data Protection Manager:

Integrazione con MUA (Multi-user authorization): l’operazione di “disabilitazione delle funzioni di sicurezza” è ora definita come un’operazione critica che può essere protetta da una Resource Guard.
Per fornire protezione contro l’eliminazione accidentale o dannosa, non è più possibile annullare la registrazione di un server protetto se le funzioni di sicurezza sono abilitate per il vault e sono presenti elementi di backup associati, in stato attivo o di eliminazione soft.
I clienti non dovranno sostenere alcun costo per i dati di backup conservati nello stato di soft delete.
La policy di backup non viene applicata ai dati conservati nello stato di soft delete e quindi nessun dato viene eliminato per 14 giorni.

Azure Site Recovery

Supporto per le Azure Policy

Microsoft ha introdotto la possibilità di utilizzare le Azure Policy per abilitare Azure Site Recovery per le macchine virtuali (VM) su larga scala, consentendo così di aderire più facilmente e rapidamente agli standard organizzativi. Dopo aver creato una policy di Disaster Recovery per una determinata subscription oppure per un resource group specifico, tutte le nuove macchine virtuali aggiunte a tale subscription oppure al resource group avranno Azure Site Recovery abilitato automaticamente. La policy in questione si chiama “Configure disaster recovery on virtual machines by enabling replication via Azure Site Recovery“. Oltre a consentire l’abilitazione della replica per le macchine virtuali su larga scala, le Policy permettono di mantenere il controllo sul raggiungimento degli standard organizzativi. Infatti, è possibile monitorare la conformità alle policy e, se si rileva che macchine virtuali non sono conformi, è possibile creare un’attività di remediation per rendere la subscription oppure il resource group conforme al 100%.

Supporto per i Managed Disk di tipologia Zone Redundant Storage (ZRS)

Azure Site Recovery (ASR) ha introdotto il supporto per i dischi managed di tipologia ZRS. Pertanto, ASR consente ora di proteggere le macchine virtuali che sfruttano i dischi managed ZRS, replicandoli in un region secondaria a scelta. ASR identifica i dischi di origine come dischi managed ZRS e crea dischi managed ZRS equivalenti nella region secondaria. Se si verifica un’interruzione in una region e si rende necessario eseguire il failover nella region secondaria, ASR attiverà le macchine virtuali nella region secondaria con dischi managed ZRS, garantendo lo stesso livello di resilienza.

Migrate

Azure Migrate

Nuovi rilasci e funzionalità di Azure Migrate

Azure Migrate è il servizio presente in Azure che comprende un ampio portafoglio di strumenti che è possibile utilizzare, tramite una esperienza di utilizzo guidata, per affrontare in modo efficace i più comuni scenari di migrazione. Per rimanere aggiornati sugli sviluppi più recenti della soluzione è possibile consultare questa pagina, che fornisce informazioni su nuovi rilasci e nuove funzionalità.

Valutazione di Azure

Per testare e valutare in modo gratuito i servizi offerti da Azure è possibile accedere a questa pagina.

Azure IaaS and Azure Stack: announcements and updates (January 2022 – Weeks: 01 and 02)

Azure

Compute

Price reductions for Azure confidential computing

Microsoft is announcing a price reduction on the DCsv2 and DCsv3-series VMs by up to 33%. The price reduction enables the data protection benefits of ACC with no premium compared to general purpose VMs on a per physical core basis. New prices took effect on 1/1/2022. If you are already using DCsv2 and DCsv3-series VMs prior to 1/1/2022, you will see the price reduction in your next bill.

Storage

Azure Ultra Disk Storage is available in West US 3

Azure Ultra Disk Storage is now available in West US 3. Azure Ultra Disks offer high throughput, high IOPS, and consistent low latency disk storage for Azure virtual machines (VMs). Ultra Disks are suited for data-intensive workloads such as SAP HANA, top tier databases, and transaction-heavy workloads.

Networking

Multiple custom BGP APIPA addresses for active VPN gateways

All SKUs of active-active VPN gateways now support multiple custom BGP APIPA addresses for each instance. Automatic Private IP Addressing (APIPA) addresses are commonly used as the BGP IP addresses for VPN connectivity. In addition to many on-premises VPN devices requiring multiple custom APIPA addresses for BGP, this feature enables BGP connections to Amazon Web Services (AWS) and other cloud providers.

Load Balancer SKU upgrade through PowerShell script

You can now upgrade your Azure Load Balancer from Basic SKU to Standard SKU by using a PowerShell script. By upgrading to Standard SKU, the Load Balancer enables the network layer traffic to drive higher performance and stronger resiliency, along with an improved integration experience with other Azure services. The PowerShell script creates the Standard SKU Load Balancer with the same configurations as the Basic Load Balancer. In addition, the script migrates the backend resources to the Standard Load Balancer for you.

Azure Traffic Manager: additional IP addresses for endpoint monitoring service

Traffic Manager uses a probing mechanism to evaluate your application endpoints. To enhance the capacity of our probing plane, Microsoft will be increasing the number of probes deployed within Traffic Manager’s endpoint monitoring service over the next few years to continue to mitigate the large amount of growth. Your applications will see an increase in number of health probes and some of these probes may originate from new IP addresses. These changes will start to go live on 21st January 2022 at 20:00 UTC.

Recommended action: if you use a network access control mechanism (e.g., Azure Firewall or Network Security Groups) and are not using Service Tags (AzureTrafficManager), please continue checking this updated list of IP addresses each Wednesday, until further notice, to ensure you allow incoming traffic from these new IP addresses. Failure to do so may cause some Traffic Manager health probes for the application endpoints to fail and may result in misrouting of traffic. No action is required access control isn’t used or network access control is utilized with AzureTrafficManager service tags.

Azure Networking: come estendere una rete locale ad Azure con una connettività privata

Nel momento in cui si decide di intraprendere una strategia basata su un cloud ibrido, che combina le risorse IT on-premises con le risorse ed i servizi del cloud pubblico, è opportuno valutare attentamente come connettere la propria rete locale con le reti virtuali presenti nel cloud pubblico. In Azure una possibilità è quella di utilizzare ExpressRoute, una connessione privata e dedicata che avviene tramite un provider di connettività di terze parti. In questo articolo vengono riportate le possibili architetture di rete con ExpressRoute, insieme ad una serie di accorgimenti da tenere in considerazione per un deployment di successo.

Molto spesso viene utilizzata una VPN Site-to-site per stabilire la connettività tra le risorse on-premise e le risorse in ambiente Azure attestate sulle Virtual Network. Questo tipo di connettività è ideale per i seguenti casi d’uso:

Ambienti di sviluppo, test, laboratori, ma anche workload di produzione dove le risorse dislocate in ambiente Azure non un utilizzano in modo intensivo e strategico la connettività verso l’ambiente on-premises e viceversa.
Quando si ha una tolleranza accettabile per quanto riguarda la larghezza di banda e la velocità nella connessione ibrida.

Ci sono alcuni casi d’uso però dove è opportuno configurare ExpressRoute, secondo le best practice Microsoft, per garantire una connettività bidirezionale tra la rete on-premise e le reti virtuali (vNet) di Azure del cliente. Infatti, ExpressRoute risulta adatto per i seguenti casi d’uso:

Se si devono soddisfare requisiti di alta velocità, connessione a bassa latenza e di disponibilità/resilienza elevata.
In presenza di carichi di lavoro mission-critical che fanno uso di una connettività ibrida.

Che cos’è ExpressRoute?

Grazie ad ExpressRoute è possibile attivare una connessione privata dedicata, fornita da un provider di connettività di terze parti, per estendere la rete locale in Azure. Le connessioni ExpressRoute non passano attraverso la rete Internet pubblica. In questo modo possono offrire un livello di sicurezza superiore, maggiore affidabilità, velocità più elevate e latenze coerenti rispetto alle connessioni Internet tradizionali.

Figura 1 – Schema logico di ExpressRoute

Le connessioni ExpressRoute abilitano l’accesso ai servizi seguenti:

Servizi di Microsoft Azure (scenario trattato in questo articolo).
Servizi di Microsoft 365. Microsoft 365 è stato progettato per essere accessibile in modo sicuro e affidabile tramite Internet. Per questo motivo è consigliabile utilizzare ExpressRoute con Microsoft 365 solo in determinati scenari, come descritto in questo articolo Microsoft.

Risulta possibile creare una connessione ExpressRoute tra la rete locale ed il cloud Microsoft tramite quattro differenti modalità:

Figura 2 – Modelli di connettività di ExpressRoute

I provider di connettività possono offrire uno o più modelli di connettività ed è possibile scegliere il modello più appropriato per le proprie esigenze di connettività.

Architetture di riferimento

La seguente architettura di riferimento mostra come è possibile connettere la rete locale alle reti virtuali in Azure, usando Azure ExpressRoute.

Figura 3 – Architettura di riferimento per estendere una rete locale con ExpressRoute

L’architettura sarà costituita dai seguenti componenti.

Rete aziendale locale (nello schema “On-premises network”). Si tratta della rete locale privata del Cliente.
Edge router locali. Si tratta dei router che collegano la rete locale al circuito gestito dal provider.
ExpressRoute Circuit. Si tratta di un circuit layer 2 oppure layer 3, fornito dal provider di connettività, che unisce la rete locale ad Azure tramite edge router. Il circuit utilizza l’infrastruttura hardware gestita dal provider di connettività.
Edge router Microsoft. Si tratta di router in una configurazione ad alta disponibilità attivo-attivo. Questi router consentono al provider di connettività di connettere i propri circuit direttamente al data center.
Virtual network gateway (ExpressRoute). Il gateway di rete virtuale ExpressRoute consente alla rete virtuale (VNet) di Azure di connettersi al circuito ExpressRoute usato per la connettività con la rete locale.
Reti virtuali di Azure (VNet). Rete virtuali che risiedono in una region di Azure.

Nell’architettura sopra descritta, ExpressRoute sarà utilizzato come canale di connettività principale per connettere la rete locale ad Azure.

Inoltre, è possibile prevedere l’utilizzo di una connessione VPN site-to-site come fonte di connettività di backup per migliorare la resilienza della connettività. In questo caso l’architettura di riferimento sarà la seguente:

Figura 4 – Architettura di riferimento per utilizzare sia ExpressRoute sia una connessione VPN site-to-site

In questo scenario sono previsti, in aggiunta ai componenti architetturali descritti in precedenza, i seguenti componenti:

Appliance VPN on-premises. Un dispositivo oppure un servizio che fornisce connettività esterna alla rete locale. L’appliance VPN può essere un dispositivo hardware oppure una soluzione software supportata per la connessione ad Azure.
Virtual network gateway (VPN). Il gateway di rete virtuale VPN consente alla rete virtuale di connettersi all’appliance VPN presente nella rete locale.
Connessione VPN. La connessione ha proprietà che specificano la tipologia di connessione (IPSec) e la chiave condivisa con l’appliance VPN locale per crittografare il traffico.

Come monitorare ExpressRoute

Per consentire di monitorare le risorse di rete in presenza di una connettività ExpressRoute si può adottare lo strumento di piattaforma Azure Monitor, attraverso il quale è possibile verificare la disponibilità, le prestazioni, l’utilizzo ed il funzionamento di tale connettività.

Si riporta a titolo di esempio una schermata della soluzione.

Figura 5 – Monitor dei circuit ExpressRoute tramite Azure Monitor

Mediante questa soluzione verrà fornito un mapping dettagliato della topologia di tutti i componenti di ExpressRoute (peering, connessioni, gateway) in relazione tra loro. Le informazioni dettagliate sulla rete per ExpressRoute includeranno una dashboard attraverso la quale è possibile consultare le metriche, la velocità effettiva, l’eventuale drop di pacchetti di rete e le metriche del gateway.

Si riporta a titolo di esempio una schermata della dashboard che mostra il Throughput totale del traffico in ingresso ed in uscita per il circuit ExpressRoute (espresso in bit/secondo). Inoltre, risulta possibile visualizzare il throughput per le singole connessioni.

Figura 6 – Metriche relative al Throughput delle connection ExpressRoute

Per maggiori dettagli è possibile fare riferimento alla documentazione ufficiale Microsoft su come effetturare il monitor di ExpressRoute.

Considerazioni sulla sicurezza

Microsoft nelle security baseline per ExpressRoute, riferite all’Azure Security Benchmark versione 1.0, il set di linee guida specifico per Azure creato da Microsoft, fornisce diverse indicazioni che è consigliato seguire. Tra le principali che è opportuno adottare troviamo:

Definizione e implementazione delle configurazioni di sicurezza standard per Azure ExpressRoute utilizzando le Azure Policy.
Utilizzo di tag per i componenti Azure ExpressRoute in modo da fornire metadati e un’organizzazione logica e strutturata delle risorse.
Applicazione di lock per evitare la cancellazione oppure la modifica accidentalenon voluta dei componenti Azure relativi alla configurazione ExpressRoute.
Utilizzo degli strumenti della piattaforma Azure per monitorare le configurazioni delle risorse di rete e rilevare le modifiche relative alle risorse di rete delle connessioni ExpressRoute. Creazione di Alert in Azure Monitor da generare quando vengono apportate modifiche alle risorse critiche.
Configurazione della raccolta centralizzata degli Activity Log per i componenti ExpressRoute.

Conclusioni

ExpressRoute offre una connessione veloce e affidabile ad Azure con larghezze di banda che possono raggiungere fino ai 100 Gbps. Si tratta quindi di un’opzione ideale per scenari specifici come la migrazione periodica dei dati, la replica a fini di business continuity, il disaster recovery, e l’attivazione di strategie di alta disponibilità. Grazie all’elevata velocità ed ai tempi di latenza ridotti di ExpressRoute, Azure sembrerà una naturale estensione dei propri data center. In questo modo è possibile trarre vantaggio dalla scalabilità e dall’innovazione del cloud pubblico senza compromessi in termini di prestazioni di rete.

Azure IaaS and Azure Stack: announcements and updates (December 2021 – Weeks: 51 and 52)

In the past two weeks, Microsoft hasn’t made any major announcements regarding these topics. However, here are some links to interesting videos made by John Savill, Principal Cloud Solution Architect at Microsoft:

I take this opportunity to wish you happy holidays and happy New Year!

Azure Management services: le novità di dicembre 2021

Nel mese di dicembre sono state annunciate da parte di Microsoft novità riguardanti gli Azure management services. Grazie al rilascio di questo riepilogo, che avviene con frequenza mensile, si vuole fornire una panoramica complessiva delle principali novità del mese, in modo da rimanere sempre aggiornati su questi argomenti ed avere i riferimenti necessari per condurre ulteriori approfondimenti.

Monitor

Azure Monitor

Audit Logs per le query di Azure Monitor

Azure Monitor consente di raccogliere dati dell’intero ecosistema, inclusi i dati di telemetria a livello di applicazione e di sistema operativo, log di sicurezza, log di rete, log di diagnostica dalle risorse Azure e log personalizzati. Tutti questi dati possono essere interrogati con il potente linguaggio KQL, utile per ottenere informazioni dettagliate ed effettuare correlazioni. Microsoft ha incluso la possibilità di controllare le query di Azure Monitor. Infatti, abilitando tale funzionalità mediante il meccanismo di diagnostica di Azure, è possibile raccogliere dati di telemetria su chi ha eseguito una query, quando è stata eseguita, quale strumento è stato usato per eseguire la query, il testo della query e le statistiche sulle prestazioni relative all’esecuzione della query. Questa telemetria, come qualsiasi altra telemetria basata su Azure Diagnostic, può essere inviata ad un Azure Storage Blob, ad un Azure Event Hub, oppure nei log di Azure Monitor.

Govern

Azure Cost Management

Aggiornamenti relativi ad Azure Cost Management and Billing

Secure

Microsoft Defender for Cloud

Microsoft Defender for Containers aggiunge nuove funzionalità per Kubernetes (preview)

Microsoft Defender for Containers, è una nuova offerta che unisce le funzionalità di Azure Defender for Kubernetes e Azure Defender for Container registries, aggiungendo diverse nuove funzionalità relative a Kubernetes su Azure:

Profilo AKS: onboarding e manutenzione come profilo AKS, in modo da non avere più una dipendenza dall’agente di Log Analytics.
Supporto multi cloud: supporto multi cloud per AKS, Amazon EKS, Kubernetes on-prem/IaaS (GCP verrà aggiunto in futuro).
Visibilità delle vulnerabilità: una nuova raccomandazione effettua il monitor dei cluster Kubernetes e mostra un elenco di immagini in esecuzione con le eventuali vulnerabilità, basate su scansioni di valutazione fornite da Qualys. Questo consente di concentrarsi sulle vulnerabilità più critiche che espongono i gli ambienti di runtime a minacce e attacchi alla sicurezza.
Protezione avanzata dalle minacce: analisi di AI compatibili con Kubernetes e rilevamento delle anomalie.
Valutazione della vulnerabilità ACR migliorata: la raccomandazione sulla valutazione della vulnerabilità di Azure Container Registry (ACR) è stata migliorata con l’aggiunta di informazioni di runtime ai risultati della scansione delle immagini. Questo consente l’assegnazione di priorità e di applicare filtri in base allo stato di distribuzione dell’immagine.
Scansione continua delle immagini: oltre alla scansione periodica delle immagini di Azure Container Registry (ACR) negli ultimi 30 giorni, la scansione continua delle immagini esegue periodicamente la scansione delle immagini ACR in esecuzione sui cluster Kubernetes.

Nuove funzionalità, correzioni di bug e funzionalità deprecate di Microsoft Defender for Cloud