Vous avez passé et réussi une certification Microsoft il y a peu ? Bravo ! Dans quelques mois et selon celle-ci, attendez-vous à recevoir un mail, de la part de Microsoft, vous demandant de renouveler votre certification.
Non, ce n’est pas une blague, certaines certifications Microsoft ont toujours eu une durée de validité. La date d’expiration est basée sur la date de réussite de votre examen. Il vous est nécessaire de repasser une petite épreuve pour étendre la durée de votre certification.
Microsoft a changé les règles du renouvellement des certifications le 30 juin 2021. Les changements ne concernent que les certifications passées à partir de cette date :
Avant le 30 juin 2021, les certifications de niveau Associé, Expert ou même les spécialités avaient une durée de validité de 2 ans. Les personnes certifiées devaient alors payer pour repasser l’examen initial, comme toute personne souhaitant passer la même certification pour la première fois. Les certifications de niveau Fondamental n’ont jamais eu de date d’expiration.
A partir du 30 juin 2021, les certifications de niveau Associé, Expert ou même les spécialités présentes dans cette liste ont une durée de validité réduite à un an. Un renouvellement gratuit est maintenant accessible 180 jours avant la date d’expiration. Les certifications de niveau Fondamental n’ont toujours pas de date d’expiration.
Une FAQ est à disposition pour vous aider à comprendre les impacts.
Pourquoi ?
Pour les personnes certifiées, cette modification a un double avantage :
Ne plus repayer pour prolonger la durée de validation pour chaque certification
Le processus de renouvellement de certification annuel gratuit et pratique de Microsoft garantit que vous êtes à jour avec les dernières modifications technologiques.
Bien évidemment, le point central dans ces deux modèles reste basé sur l’apprentissage continu des évolutions des produits. Ces produits rattachés au Cloud Microsoft sont en constante évolution dans leurs fonctionnalités et leur périmètre.
Quand passer son renouvellement ?
Inutile de vous précipiter, attendez de recevoir le premier mail de la part de Microsoft, 180 jours avant la date d’expiration de votre certification. Par la suite et si rien n’est fait, plusieurs rappels vous seront envoyés tant que votre certification n’est pas renouvelée :
90 jours avant la date d’expiration
30 jours avant la date d’expiration
7 jours avant la date d’expiration
Comment se déroule le renouvellement ?
La principale différence entre un renouvellement et un premier examen est avant tout l’absence d’outil de contrôle. Plus besoin de disposer d’un environnement vide et calme. La page d’examen du renouvellement est une page web de Microsoft Learn.
Concernant le contenu du renouvellement, l’examen est généralement composé d’une vingtaine de questions environ, parfois un peu plus. Les questions s’enchainent sans pouvoir revenir en arrière. Pas d’étude de cas à traiter non plus.
Je ne crois pas non plus avoir vu de chronomètre par question ou même pour l’ensemble de l’examen de renouvellement.
Quels sont les résultats possibles ?
Comme pour l’examen initial, deux issues sont possibles, réussite ou échec. Une différence réside sur le pourcentage à atteindre. 700 points sont nécessaires pour l’examen initial, tandis que le renouvellement se base sur un pourcentage, dont le son minimum varie entre chaque examen.
Si votre renouvellement est réussi, la date d’expiration de la certification est automatiquement repoussée d’une année. Un prochain renouvellement vous sera alors à requis à nouveau dans 365 jours, etc … Un nouveau mail arrivera quelques heures après pour vous féliciter :
Si vous échouez votre renouvellement, rien de grave, vous pourrez le repasser après 24 heures. En attendant, Microsoft vous affiche en dessous des indicateurs pour situer votre niveau sur chaque thème et pour vous inciter à vous concentrer vos efforts sur faiblesses :
Mon avis personnel
J’adhère complètement à ce nouveau processus simplifié de renouvellement, autant sur la forme que sur le fond : Il est plus juste de ne plus faire repayer une certification déjà acquise, et il est primordial de vérifier le maintien à jour des connaissances des personnes certifiées.
En revanche, je suis quelques fois dubitatif sur la présence de certaines questions, très à la marge du périmètre de la certification renouvelée. Cela donne un effet méli-mélo assez étrange sur le pool de questions rattachées derrière tout ça.
Conclusion
Après une première inquiétude émise à cause du raccourcissement de la durée de validité, ce changement dans le renouvellement des certifications Microsoft a été vivement apprécié, il simplifie le processus de validation des connaissances pour les personnes déjà certifiées.
Cette approche facilite également l’ajout de questions sur des contenus nouveaux, car la même démarche chez Microsoft est nécessairement plus longue pour l’appliquer et le valider dans un examen initial.
Un des principes fondamentaux du Cloud est fonctionner, et de facturer, selon la consommation. Cela permet de payer un service uniquement quand celui-ci est utilisé. Associé à ce principe, une transparence des coûts est présente via une décomposition précise.
Néanmoins, la compréhension de la tarification et de la facturation d’Azure n’est pas chose aisée durant la mise en place des premières architectures, tant la granularité tarifaire peut s’avérer pleine de coûts combinés et de variantes possibles selon les scénarios.
Un premier article dédié à l’optimisation des coûts est déjà disponible sur ce blog juste ici. Ce second article est quant à lui dédié à la décomposition tarifaire d’une machine virtuelle, très utilisée sur Azure.
Optimisez votre Azure : 1/4 – Les Coûts
Comment fonctionne la politique tarifaire d’Azure ?
Azure propose deux méthodes de tarification, assez classiques chez tous les fournisseurs de Cloud :
Paiement à la demande : aussi appelé PAYG (Pay-As-You-Go), cette méthode de facturation est sans engagement. Le décompte tarifaire commence selon les cas quand la ressource est créée ou allumée, et se termine quand la ressource est supprimée ou arrêtée.
Engagement de durée : disponibles sur certaines ressources Azure, les engagements sur Azure sont généralement disponibles sur un ou trois ans avec un paiement unique en début d’engagement ou mensuellement. Durant cette durée, le coût de la ressource n’est plus facturé en PAYG, on profite alors d’un rabais très intéressant. L’annulation de l’engagement durant la période n’est pas toujours possible.
Il est possible de combiner les deux méthodes dans un seul environnement Azure sans difficulté.
Attention : un engagement ne couvre généralement pas l’ensemble des coûts d’une ressource Azure.
Quels sont les principaux types de coûts d’une ressource Azure ?
Le coût d’une ressource Azure se décompose généralement en plusieurs types de coût. Par exemple, le stockage de données sur Azure générera les coûts suivants :
Le volume de stockage : Mo, Go, To, …
Le volume de transactions : lectures, écritures, …
Le volume de données transitant par les réseaux : Mo, Go, To, …
Les services additionnels : réplication, sauvegarde, sécurité, …
Ce lien ouvre une page détaillée des coûts.
Dans cet article, nous allons nous intéresser aux machines virtuelles Azure et à quatre de ses principaux types de coûts :
Le Calcul : le traitement de l’information nécessite un service capable d’effectuer des calculs. Azure considère couple processeur / mémoire comme un couple de calcul. On retrouve cet ensemble dans les machines virtuelles, les serveurs de base de données ou les services Web. Assez simplement, le coût du service calcul va dépendre de sa taille, donc de sa technologie, de son nombre de coeurs et de sa taille de mémoire.
Le Stockage : Bien souvent, de l’information a besoin d’être stockée dans une architecture. Qu’elle soit utilisée par le service de calcul, mise à disposition pour des accès externes ou pour des besoins de sauvegarde, le stockage disposera généralement de 3 variables : taille (Go; To), débit (Mo/sec; Go/sec) et puissance transactionnelle (IOPS).
Le Réseau : Une ressource Azure a besoin de communiquer avec des utilisateurs ou d’autres ressources IT. Par exemple, le réseau virtuel Azure est un moyen simple de faire communiquer des ressources Azure entre elles, une passerelle VPN ou ExpressRoute Azure sera un moyen facile et sécurisé d’établir une communication vers un environnement local. Comme pour le stockage, la tarification réseau repose sur des variables : taille de la bande passante et le volume de données en transition.
La licence logicielle : Là encore, la ressource Azure sera souvent exploitée par un système d’exploitation et/ou logiciel, dont certains fonctionnent sous licence payante. Dans l’exemple des licences Microsoft, comme Windows Server ou SQL Server, la tarification Azure repose sur la taille du service de calcul, comme le nombre de coeurs des machines virtuelles. Il est aussi possible de réduire les coûts des licences en réutilisant, sous certaines conditions, des licences existantes.
La machine virtuelle Azure est le meilleur exemple car elle est présente dans de nombreux déploiements Cloud et comporte une variété de coûts Azure.
Tous les champs indiqués dans la Calculatrice de prix Azure ont un impact sur le prix, mais les trois champs entourés en rouge sont ajustables selon les besoins dans le temps :
Taille de l’instance de calcul :
Pas de mystère, plus une machine virtuelle dispose de coeurs et/ou de mémoire, plus son coût est élevé. Il est donc important de choisir une taille adaptée selon les besoins pour éviter des ralentissements ou une sous-utilisation.
Peut-on moduler la taille de la machine virtuelle selon les besoins ?
Il est envisageable de redimensionner la taille durant la nuit ou le week-end quand la période de calcul est plus faible, via le portail Azure ou même de l’automatiser grâce à un script.
Attention : un changement de taille engendre un repositionnement de la machine virtuelle par l’hyperviseur, donc un redémarrage systématique de l’OS.
Durée de fonctionnement :
Une fois créée, une machine virtuelle Azure oscille sur 3 différents statuts :
Démarrée : fonctionnement normal et tarification des 4 coûts : calcul, stockage, réseau et licence.
Arrêtée : machine virtuelle non accessible, tarification maintenue pour le calcul et le stockage.
Arrêtée (Désallouée): machine virtuelle non accessible, tarification maintenue pour le stockage.
Dans certains cas, l’arrêt complet de la machine virtuelle est donc une approche intéressante pour réduire les coûts. Imaginez un scénario où la machine virtuelle ne démarre qu’au moment où l’utilisateur en a besoin, par exemple durant les heures des jours de la semaine.
Important : à noter que le démarrage d’une machine virtuelle dépend aussi des ressources disponibles dans le datacenter Azure où elle se situe. Ce point de détail a pu être épineux, par le passé, pour certaines tailles de machines exotiques.
Engagement, ou pas :
Comme indiqué plus haut, deux méthodes de facturations sont disponibles sur Azure. Prendre un engagement sur une machine virtuelle est une méthode pratique pour diminuer les coûts quand l’utilisation de la ressource est en 24/7.
Comment fonctionne une instance réservée ?
Il faut voir une instance réservée Azure comme une place de parking, louée pour une durée d’un ou trois ans auprès de Microsoft :
L’instance réservée est une méthode d’engagement historique, elle a depuis été complétée avec le Plan d’économies, disponible depuis quelques mois :
Disque de stockage :
Le stockage de données est un élément indispensable pour une machine virtuelle Azure. Il s’agit d’un coût que l’on paye en permanence, même si la machine virtuelle est éteinte. La taille, la SLA et les performances des disques sont des vecteurs de coûts et donc d’économies potentielles.
Quatre niveaux de disque sont actuellement disponibles sure Azure :
Standard HDD
Standard SDD
Premium SSD v1/v2
Ultra disk
L’économie va alors dépendre des besoins : une taille de disque adaptée, des performances suffisantes vous permettrons de répondre au mieux à ces derniers et donc de réduire les coûts :
Les disques premium SSD v2 apportent plus de flexibilité sur le choix des performances voulues.
Quelques remarques :
La taille du disque dépendra de la taille de l’image ou de la partition. Il n’est pas possible de choisir une taille plus petite que l’image.
Certains niveaux de disques n’incluent pas les coûts liés au volume de transaction dans le prix de base. Il faut donc en tenir compte dans le calcul de coût du stockage.
Le meilleur prix final, et donc la meilleure économie possible, peut reposer sur l’achat de disque plus cher pour ne pas payer un gros et coûteux volume de transactions.
Le changement de niveau de disque est possible au démarrage de la machine virtuelle via le portail Azure ou avec la mise en place d’un script.
Le réseau :
Inutile de se le cacher, la tarification du réseau d’Azure n’est pas simple. Azure considère un transfert de données et son prix change en fonction de sa destination :
Interne à la région Azure : transfert de données entre deux ressources d’une même région Azure. Dans ce scénario, le coût du traffic est nul, pour la plupart des cas :
A noter que le peering de réseaux virtuels, d’une même région Azure ou non, n’est pas gratuit.
Entre deux régions Azure : certains architectures Cloud sont réparties sur plusieurs régions Azure afin de disposer les ressources au plus près des utilisateurs. Tous les mois, les 5 premiers gigas de transfert de données inter-région sont gratuits :
Vers le réseau internet : tous les mois, les 100 premiers gigas de transfert de données vers internet sont gratuits :
Comme pour toute ressource Azure mise en réseau, une machine virtuelle communique via 2 types de flux :
Entrant : connexions entrantes, comme un accès RDP distant ou encore un service web accessible en local ou sur internet. Les flux réseaux entrants vers Azure ne génèrent pas de coûts.
Sortant : connexions sortantes, comme un accès RDP distant ou lors d’un téléversement de fichiers. Les flux réseaux sortant d’Azure génèrent des coûts si la destination est en dehors du réseau Microsoft ou sur une autre région Azure.
Le routage du trafic via Microsoft Global Network sera plus résilient qu’un routage Internet, mais un peu plus cher.
Licences logicielles :
La majorité des machines virtuelles vont fonctionner sur Windows ou Linux. Bien souvent, un système d’exploitation nécessite de disposer d’une licence. Microsoft propose donc de payer cette licence uniquement quand la machine est démarrée.
Deux facteurs existent sur le prix de la licence en PAYG :
Le coût de licence va dépendre du nombre de coeurs.
Un nombre d’heures moins important fera baisser le montant du coût de licence.
Qu’est-ce qu’Azure Hybrid Benefit ?
Azure Hybrid Benefit est un avantage en matière de licences qui vous permet de réduire considérablement les coûts d’exécution de vos charges de travail dans le cloud. Son fonctionnement consiste à vous autoriser à utiliser vos licences Windows Server et SQL Server compatibles sur Azure.
L’activation de cette fonction est faisable pendant ou après la création de la machine virtuelle en quelques clics :
Vous pouvez acheter des licences en souscription annuelle ou pluriannuelle. Les économies réalisées représentent des sommes non négligeables.
Enfin, il ne faudra pas oublier d’autres coûts annexes comme la sauvegarde de données, la sauvegarde de logs ou de métriques, ou encore la mise en place d’un service de reprise après sinistre, qui seront rattachés à différents services Azure.
Conclusion
La tarification d’un hébergeur Cloud peut sembler complexe, mais une prédiction des coûts est possible grâce à l’utilisation du Calculateur de prix Azure. La documentation Azure est aussi là pour mieux comprendre les différences entre les SKU et leurs politiques tarifaires.
Enfin, je conseille également un suivi de la consommation post-déploiement via le Gestionnaire des coûts Azure afin de comparer votre prévision avec la réalité, et donc d’améliorer vos estimations futures.
Ayant eu l’occasion de participer à un évènement conjoint entre TD SYNNEX, Microsoft et DELL et dédié à Azure Stack HCI, j’ai pu m’intéresser au service qui oeuvre dans l’ombre : Azure Arc. L’ouverture d’Azure sur d’autres sites IT que leurs propres datacenters est indispensable, beaucoup d’architectures IT reposent en effet sur des serveurs locaux, ou sont déjà hébergées auprès d’autres fournisseurs Cloud.
Dans cet article, nous allons effectuer ensemble plusieurs méthodes d’intégration très facile de serveurs au service Azure Arc. Nous en profiterons pour faire tour dans les fonctionnalités disponibles gratuitement ou payantes sur les ressources Arc déployées.
Qu’est-ce qu’Azure Arc ?
Azure Arc est une passerelle qui étend la plateforme Azure pour vous aider à créer des applications et des services ayant la souplesse nécessaire pour fonctionner dans des centres de données, à la périphérie et dans des environnements multiclouds.
A la base, Azure Arc ne coûte rien. Il vous permet d’effectuer les actions suivantes sans débourser un seul centime :
Inventaires des ressources Azure Arc
Accès et sécurisation via l’attribution de droits RBAC
Gestion via l’outil Windows Admin Center
Mais certains services annexes sont payants :
Serveur SQL avec Azure Arc
Defender for Cloud
Azure Policy Guest Configuration
Azure Insights
Logs
…
Puis-je tester moi-même Azure Arc avec une VM Azure ?
Non cela n’est pas possible aussi facilement : Azure n’autorise pas d’intégrer directement une machine virtuelle provenant dans la Marketplace Microsoft dans Azure Arc :
Seulement tout le monde ne dispose pas d’une infrastructure IT prête à servir de cobaye pour tester Azure Arc. C’est pourquoi Microsoft propose Azure Arc Jumpstart.
Le Jumpstart fournit des guides étape par étape pour des scénarios Azure Arc indépendants qui intègrent autant d’automatisation que possible, des captures d’écran et des échantillons de code détaillés, ainsi qu’une expérience riche et complète lors de la prise en main de la plateforme Azure Arc.
Pour en avoir testé quelques-uns, c’est très facile et très bien expliqué.
De mon côté, je vous propose une alternative via un exercice facile pour intégrer des serveurs sur Azure Arc via l’utilisation de ressources uniquement hébergées sur Azure.
Etape 0 – Rappel des prérequis :
Les prérequis suivants sont nécessaires pour réaliser cette démonstration d’Azure Arc :
Un tenant Microsoft
Une souscription Azure valide
Etape I – Déploiement d’un template ressources :
Pour créer des ressources intégrables dans Azure Arc, j’utilise un template développé par Microsoft et disponible depuis GitHub : Line-of-business application migration : à la base, ce template est destiné à tester le service Azure Migrate.
Ce dernier vous propose de déployer un serveur Hyper-V, dans lequel se trouve un applicatif web réparti sur plusieurs machines virtuelles et une base de données SQL.
Seule la partie initiale, encadrée en rouge, nous intéresse pour Azure Arc :
Par ce template, nous allons donc déployer une machine virtuelle Standard D8s v3 (8 vCPU, 32 GB memory) avec un rôle Hyper-V. Cette dernière hébergera 4 machines virtuelles :
Pour cela, cliquez ici pour charger la configuration du template directement dans votre tenant :
Renseignez les champs suivants et continuez :
Par défaut : Le nom d’utilisateur demouser Le mot de passe demo!pass123
Lancez la création et attendez une heure environ :
Prévoyez au moins une heure à partir du début du déploiement du template pour couvrir l’exécution des scripts.
Remarque : le déploiement du template prend environ 6 à 7 minutes. Une fois le déploiement du modèle terminé, plusieurs scripts supplémentaires sont exécutés pour amorcer l’environnement de laboratoire.
Récupérez l’adresse IP publique suivante :
Ouvrez un nouvel onglet depuis votre navigateur internet avec celle-ci. Vous devriez voir un site web affichant des réservations fictives d’hôtels :
Un déploiement correctement terminé devrait vous afficher cette page.
Supprimez le second groupe de ressources destiné aux tests d’Azure Migrate. Nous ne l’utiliserons pas dans le cadre de nos tests sur Azure Arc :
Ouvrez la machine virtuelle SmartHotelHost et cliquez sur Bastion :
Le service Bastion n’est pas créé, lancez son déploiement avec la configuration par défaut :
N’attendez pas la fin du déploiement de Bastion pour continuer.
Etape II – Configuration d’Azure Arc
La configuration d’Azure Arc est très rapide, utilisez la barre de recherche d’Azure pour retrouver le service Azure Arc :
Avant de commencer l’intégration de machines virtuelles à Azure Arc, nous allons créer un principal de service dédié à cette tâche. Ce principal de service va être utilisé pour l’authentification automatique pendant le processus d’intégration des ressources dans Azure Arc.
Cliquez dans le menu suivant :
Cliquez sur Créer :
Renseignez les champs, puis cliquez sur Créer :
Prenez soin de copier l’ID et le secret de principal de service dans un bloc-notes :
Revenez sur la page d’Azure Arc et constatez son apparition :
Une fois Azure Bastion entièrement déployé, retournez sur votre machine virtuelle SmartHotelHost, puis lancez une connexion RDP via Azure Bastion :
Renseignez les identifiants utilisés dans le template, puis cliquez sur Connecter :
La session RDP d’Azure Bastion s’ouvre alors dans un nouvel onglet de votre navigateur web :
Retournez sur le service Azure Arc depuis votre portail Azure, puis cliquez sur Ajouter dans la section Serveurs :
Plusieurs méthodes d’intégration à Azure Arc sont possibles. Le choix de la méthode va surtout dépendre du volume d’intégration à réaliser. Nous allons en tester plusieurs pour vous faire une meilleure idée.
Etape III – Test d’un ajout simple de serveur :
Cette méthode correspond à l’ajout d’un serveur unique sur Azure Arc. Ce premier script effectue les opérations suivantes :
Récupération de l’agent depuis le Centre de téléchargement Microsoft
Installation de l’agent sur le serveur
Création de la ressource serveur compatible avec Azure Arc
Pour utiliser ce script, cliquez comme ceci :
Azure commence par vous présenter les prérequis nécessaires pour assurer la communication entre le serveur et Azure Arc.
La communication repose sur le port 443 (HTTPS), cela nécessite une ouverture de pare-feu pour les flux sortant, et éventuellement la prise en charge d’un service proxy si besoin :
Aucun blocage réseau n’est présent dans notre environnement de test.
Cliquez sur Suivant et renseignez les champs :
Renseignez si besoin les étiquettes appropriées, puis cliquez sur Suivant :
Copiez le script suivant dans votre presse-papier :
Retournez sur la session RDP ouverte grâce à Azure Bastion, puis ouvrez la console Hyper-V :
Connectez-vous à la machine Windows smarthotelweb1 :
Renseignez le mot de passe de session Windows : demo!pass123
Dans cette nouvelle session, ouvrez la console PowerShell :
Collez le script donné par Azure Arc et appuyez sur Entrée pour lancer son exécution :
Comme attendu, le script procède au téléchargement et à l’installation de l’agent :
Identifiez-vous avec le compte Azure AD adéquat pour continuer le processus d’intégration :
Validez le processus d’authentification par un challenge MFA si besoin :
Fermez la fenêtre d’Internet Explorer :
Le script vous confirme la bonne création de l’objet serveur dans Azure Arc :
Retournez sur la page des serveurs Azure Arc, rafraîchissez la page si besoin :
Etape IV – Test d’un ajout de plusieurs serveurs :
Pour ajouter plusieurs serveurs à la fois sur Azure Arc, nous pouvons utiliser la seconde option.
Celle-ci génère un facilement script transportable puisqu’il gère l’authentification Azure via l’exploitation du principal de service créé précédemment. Ce script effectue les opérations suivantes :
Récupération de l’agent depuis le Centre de téléchargement Microsoft
Installation de l’agent sur le serveur
Création de la ressource serveur sur Azure Arc
Pour continuer, cliquez comme ceci :
Renseignez les champs et le principal de service, puis cliquez sur Suivant :
Renseignez si nécessaire les étiquettes appropriées, puis cliquez sur Suivant :
Copiez le script dans le presse-papier :
Retournez sur la session d’Azure Bastion. Sur la console Hyper-V, connectez-vous à la machine smarthotelweb2 :
Renseignez le même mot de passe : demo!pass123
Ouvrez la console PowerShell :
Collez votre script en prenant bien soin de remplacer le secret du principal de service par celui donné lors de sa création :
Attendez que le traitement d’intégration se termine :
Retournez sur la page des serveurs d’Azure Arc, rafraîchissez la page si besoin :
Nul besoin de fournir une authentification manuelle d’Azure, ce script est donc destiné à être utilisé pour importer massivement des serveurs sur Azure Arc.
Etape V – Test d’un ajout d’un serveur Linux
Azure Arc supporte également les serveurs fonctionnant sous distribution Linux ,via l’utilisation d’un autre script spécifique. Celui effectue les actions suivantes :
Récupération du script d’installation à partir du Centre de téléchargement Microsoft
Configuration du gestionnaire de packages pour approuver le référentiel
Téléchargement de l’agent à partir du référentiel de logiciels Linux de Microsoft
Installation l’agent sur le serveur
Création de la ressource de serveur sur Azure Arc
Pour continuer, cliquez encore une fois sur la seconde option :
Renseignez à nouveau les champs et le principal de service, puis cliquez sur Suivant :
Renseignez si besoin les étiquettes appropriées, puis cliquez sur Suivant :
Copiez le script dans le presse-papier :
Retournez sur la session d’Azure Bastion. Depuis le serveur Hyper-V, ouvrez directement une console PowerShell et connectez-vous à la machine UbuntuWAF via SSH:
Renseignez le mot de passe : demo!pass123
Collez le script donné par Azure Arc en prenant soin de modifier le secret, puis appuyez sur Entrée pour lancer son exécution :
Laissez la machine redémarrer au besoin :
Une fois le script correctement terminé, vérifiez sur le service Azure Arc l’apparition du serveur Linux :
Etape VI – Test d’un ajout d’un serveur SQL
Une machine virtuelle hébergeant un serveur SQL est également compatible avec Azure Arc et vous permet de le gérer dans votre inventaire. Le processus repose toujours sur le lancement d’un script. Ce dernier effectue les actions suivantes :
Vérification de la connectivité de votre environnement à Azure et à la machine spécifiée
Intégration de la machine hôte via l’agent Azure Connected Machine si absent
Initiation de la découverte d’instances SQL Server
Ajout des instances SQL Server de votre machine cible à Azure Arc
Cliquez comme ceci :
Renseignez les champs, puis cliquez sur Suivant :
Copiez le script dans le presse-papier :
Retournez sur la session d’Azure Bastion, sur la console Hyper-V, ouvrez une connexion vers le serveur smarthotelSQL1 :
Collez le script précédemment donné par Azure Arc et validez avec la touche Entrée :
Authentifiez-vous avec votre compte Azure. Si aucune fenêtre ne s’ouvre, saisissez l’URL dans votre navigateur web et authentifiez-vous avec votre compte Azure:
Cliquez sur Continuez :
Attendez que le script termine l’intégration du serveur SQL sur Azure Arc :
Une fois terminé, retrouvez le serveur SQL dans la liste des serveurs d’Azure Arc :
L’agent WindowsAgent.SqlServer est bien présent dans les extensions du serveur :
Retrouvez aussi le serveur SQL dans la liste ci-dessous d’Azure Arc :
Comme un serveur SQL Azure, cette intégration sur Azure Arc apporte une visibilité des bases de données ou apporte une intégration avec Microsoft Defender for SQL :
Etape VII – Test de fonctionnalités d’Azure Arc
Un grand nombre de fonctionnalités sont disponibles pour faciliter la gestion des serveurs intégrés sur Azure Arc. J’en ai sélectionné quelques-unes pour vous :
Windows Admin Center
Inauguré en 2018, Windows Admin Center est une interface web destinée à la configuration de serveurs, comme le ferait déjà Server Manager, mais à distance.
Voici un poster Microsoft récapitulant les fonctionnalités de Windows Admin Center :
Il est également possible de télécharger Windows Admin Center sur n’importe quelle machine Windows 10 (version 1709 ou ultérieure), ou Windows Server (version 2016 ou ultérieure) :
Dans notre exemple, l’installation de Windows Admin Center est nécessaire avant de pouvoir l’utiliser :
Lancez l’installation de Windows Admin Center :
Attendez plusieurs minutes :
Une fois terminée, la notification suivante apparaît alors :
Retournez sur le groupe des ressources Azure Arc pour y ajouter un rôle RBAC supplémentaire à votre identité Azure AD :
Ajoutez le rôle comme ceci :
Retournez sur Windows Admin Center et constatez la disparition de la notification, puis connectez-vous :
Patientez si besoin plusieurs minutes.
Retrouvez la console Windows Admin Center et toutes ses fonctionnalités, comme :
Accès au registre Windows
Configuration réseau et pare-feu
Accès aux journaux d’évènements Windows
Explorateur de fichiers
Il est même possible d’ouvrir une session RDP depuis Windows Admin Center ????
Renseignez le mot de passe de session : demo!pass123
Defender for Cloud
Microsoft Defender pour les serveurs fournit la détection des menaces ainsi que des défenses avancées à vos machines Windows et Linux, qu’elles s’exécutent dans Azure, AWS, GCP ou localement. Microsoft Defender pour les serveurs est disponible dans deux plans :Microsoft Doc
Autrement dit, l’intégration d’une ressource dans Microsoft Defender active un grand nombre de mesures de sécurité (capteurs de faille, évaluation des vulnérabilités, threat intelligence, …), mais apporte également la possibilité de piloter ses alertes et ses incidents depuis le centre de sécurité Microsoft.
Deux plans sontdisponibles selon le serveur concerné et les fonctionnalités recherchées. Le plan 2 correspond à l’ancien plan appelé Defender for Server :
La liste des avantages de Defender for Server se trouve ici.
L’activation de Defender for Server est facile, cliquez sur un des serveurs Azure Arc, puis rendez-vous dans la section Sécurité et enfin cliquez comme ceci :
Cliquez sur la souscription hébergeant vos ressources Azure Arc :
Activez le plan destiné à Defender for Servers :
Que le serveur soit sous Linux ou Windows, l’installation d’agent est réalisé de la même manière que pour des ressources Azure :
Azure Policy Guest configuration
Comme pour des ressources Azure, Azure Policy prend en charge l’audit de l’état de votre serveur compatible avec Azure Arc grâce aux politiques de configuration des invités. Les définitions de configuration d’invité d’Azure Policy peuvent auditer ou appliquer des paramètres à l’intérieur de la machine.
Il est à noter que ce service est payant pour des ressources non-Azure :
Contrairement à Defender for Cloud où l’activation est possible depuis une souscription Azure pour l’ensemble des ressources de même type, l’activation de cette fonctionnalité doit s’effectuer sur chacun des serveurs Azure Arc :
Cochez les cases voulues :
Les nouvelles polices sont bien visibles, mais en attente de lancement :
Retournez sur l’Hyper-V pour arrêter la machine virtuelle :
Une fois arrêté, redémarrer là :
Attendez un bon quart d’heure pour espérer voir des résultats sur les polices :
Surveillance
Comme pour les ressources Azure, la sauvegarde des logs est aussi disponible. L’activation de Defender for Server Plan 2 automatise sa mise en place et intègre dans le coût 500 Mo journalier pour les logs :
Insights
L’activation de capacités de surveillance supplémentaires permet d’obtenir des informations sur les performances et les dépendances de vos ressources de l’Arc.
Cliquez-ici pour configurer les paramétrages :
Activez le service :
Un Log Analytics Workspace est nécessaire. Choisissez-en un existant ou créez-en un nouveau :
En entendant le déploiement complet, consultez la liste des extensions pour voir apparaître AMA :
AzureMonitorWindowsAgent pour Windows AzureMonitorLinuxAgent pour Linux
Il faut bien attendre un peu pour avoir de la donnée et en tirer des analyses intéressantes.
Microsoft démontre sous ouverture à d’autres environnements via Azure Arc. La centralisation des opérations sur le portail Azure sans tenir compte de la provenance de la ressource IT est une belle avancée car elle facilite la gestion d’infrastructure. Cela permet en plus de pouvoir toujours profiter des derniers services ajoutés par Microsoft.
Configurer la sécurité sur Azure en seulement 10 minutes ? Et pourquoi pas en 9 minutes ? Cette course au temps ne veut rien dire ! La sécurité est une tâche constante, et passe presque toujours par différentes phases, comme la découverte, l’analyse et la configuration. Néanmoins, une approche directe est malgré tout possible sur certains éléments élémentaires de sécurité.
Microsoft le rappelle très régulièrement, le premier risque identifié provient d’identités mal sécurisées :
Chaque jour, plus de 300 millions de tentatives de connexion frauduleuses à nos services Cloud sont enregistrées. Les cyberattaques ne ralentissent pas, et il convient de noter que de nombreuses attaques ont réussi sans l’utilisation de technologies avancées. Il suffit d’une seule d’identité compromise… pour provoquer une violation de données. Cela montre à quel point il est essentiel de garantir la sécurité des mots de passe et une authentification forte.
Déjà par lire mon article sur la sécurité, accessible juste ici ????. Plus sérieusement, commencer par assimiler quelques notions, comme la défense en profondeur ou le Zéro Trust.
Principe de sécurité en couche
Comme un oignon, chaque couche de sécurité apporte des mesures, passives ou actives, empêchant ou retardant l’accès à la donnée, élément critique de toute entreprise :
Qu’est-ce que TD SYNNEX peut faire pour ma sécurité ?
Travaillant chez TD SYNNEX depuis plusieurs années, j’accompagne des partenaires IT dans la conception d’architecture sur Azure. La collaboration entre Microsoft et TD SYNNEX est très forte, nous distribuons tous les produits Cloud de Microsoft via une marketplace.
Disposant de compétences techniques en interne, nous développons aussi nos propres solutions pour faciliter et automatiser toujours plus la mise en place de solutions innovantes sur Azure.
Concernant la sécurité, TD SYNNEX n’est pas en reste et propose une nouvelle solution appelée SMB Fraud Défense. Il s’agit d’une solution, dite Click-to-Run, donc prête à l’emploi : quelques clics suffisent pour mettre en place la solution sur un tenant Azure.
Que fait exactement la solution SMB Fraud Defense ?
Voyez un tenant Microsoft comme une maison : les identités et les périphériques sont les portes et les fenêtres. Il est donc évident que ces points des entrées à la donnée :
Des mesures de sécurité sont nécessaires protéger la donnée. Voici une liste non exhaustive des fonctionnalités facilement activables depuis SMB Fraud Defense :
Protection des identités Azure AD :
Création de scénarios d’accès conditionnel avec MFA
Restriction géographique par pays
Blocage d’anciens protocoles d’authentification
Gestion de l’expiration des mots de passe
Verrouillage des identités intelligent
Protection des ressources Azure :
Mise en place de budgets et notifications
Restrictions géographiques
Restrictions de familles de machines virtuelles
Combien coûte SMB Fraud Defense ?
Rien du tout ????, aucun frais à prévoir du côté de TD SYNNEX ou de Microsoft.
Comment procède-t-on pour déployer SMB Fraud Defense ?
Quelques étapes sont nécessaires et sont décrites dans les lignes de cet article, rien de plus.
Etape 0 – Rappel des prérequis :
Avant tout, le déploiement d’une solution Click-to-Run nécessite la mise en place d’un partenariat entre un vous et TD SYNNEX. En effet, ces solutions ne sont disponibles à l’achat qu’uniquement depuis notre Marketplace. Pour cela, cliquez ici.
Le second prérequis est de disposer d’un tenant Azure et d’une souscription Azure Plan acheté via la Marketplace de TD SYNNEX.
Etape I – Achat de la solution Click-to-Run SMB Fraud Defense :
Comme indiqué plus haut, SMB Fraud Defense est gratuit mais demande malgré tout par un provisionnement par depuis la Marketplace de TD SYNNEX.
Une fois votre Azure Plan en place, cliquez sur Modifier :
Parcourez la liste des solutions Click-to-Run disponibles à l’installation, et cliquez sur Acheter SMB Fraud Defense :
Note : La mise en place de la solution vous alerte sur l’incompatibilité avec des solutions MFA externe à Azure
Une fois que vous avez accepté ce message, la plate-forme vérifie la bonne configuration initiale du tenant :
Etape II – Déploiement de la solution Click-to-Run SMB Fraud Defense :
Juste avant de déployer SMB Fraud Defense, il est nécessaire de préparer 3 conditions sur le tenant cible, car la solution analyse les 3 points suivants :
Paramètre de sécurité par défaut d’Azure
Gestionnaire de coûts Azure
Souscription d’une licence Azure AD Premium (Plan 1 ou Plan 2)
Voici un détail point par point pour réussir la préparation et leur statut attendu :
Paramètre de sécurité par défaut d’Azure – désactivé :
La mise en place d’une sécurité personnalisée nécessite la désactivation de la sécurité par défaut d’Azure. Voici ce que cette dernière contient.
Sa désactivation est donc possible via ce menu :
Mais elle est aussi désactivable via le portail d’Azure AD :
Désactivez alors celle-ci en spécifiant un motif justifiant l’opération :
Gestionnaire de coûts Azure – Activé :
La mise en place de budget et d’alerte sur la consommation Azure nécessite l’activation du gestionnaire de coûts Azure.
En effet, la mise en place d’une souscription Azure Plan via un partenaire CSP ne l’active pas par défaut. Il est donc nécessaire de vous rapprocher de votre fournisseur CSP pour l’activation du Gestionnaire de coûts.
Souscription d’une licence Azure AD Premium Plan 1 ou Plan 2 – Souscrite :
La mise en place de l’accès conditionnel sur Azure AD nécessite de disposer d’une licence Azure AD Premium Plan 1 ou Plan 2 :
Pour un déploiement optimal, il est conseillé d’en disposer pour profiter de l’ensemble des avancées de SMB Fraud Defense, comme l’accès conditionnel avec prise en compte de l’évaluation du risque à la connexion.
Vous pouvez activer une licence Azure AD Premium Plan 2 en version d’essai directement depuis le portail Azure AD :
Une fois la version d’essai activée, pensez à affecter une licence Azure AD Premium Plan 2 à un utilisateur votre tenant.
Une fois ces 3 points corrects sur votre environnement, vous pouvez commencer la configuration sur chacun des onglets :
Etape III – Configuration de la solution Click-to-Run SMB Fraud Defense :
Cette configuration est divisée en 5 onglets :
Localisation
Budget
Accès conditionnel
Méthodes d’authentification
Polices
Note : cliquez sur Déployer à la fin, une fois seulement tous les onglets configurés.
A / Localisation
Des informations sont nécessaires pour le bon déploiement des polices Azure. Pour cela, choisissez une région Azure dans le menu déroulant et spécifiez le nom d’un groupe de ressources :
B/ Budget
La mise en place d’un budget est une bonne approche pour suivre la consommation Azure en fonction de l’estimation faite au début du projet :
La mise en place d’alertes l’est tout autant pour éviter les dépassements et donc les factures salées :
Vous pouvez indiquer plusieurs adresses emails pour les notifications.
C/ Accès conditionnel
La gestion identitaire d’Azure passe par Azure Active Directory (Azure AD). La sécurisation d’environnement Azure passe donc avant tout par celui-ci.
Vous pouvez contrôler l’accès à vos applications cloud basées sur l’emplacement réseau d’un utilisateur. La condition d’emplacement est couramment utilisée pour bloquer l’accès à partir des pays/régions d’où votre organisation sait que le trafic ne doit pas provenir :
La MFA propose donc d’aller plus loin que le couple classique identifiant / mot de passe. L’authentification multifacteur d’Azure AD impose de mettre en place les 3 méthodes d’authentification suivantes :
Un élément que vous connaissez (ex. mot de passe)
Un élément que vous possédez (ex. un appareil de confiance, comme un smartphone)
Un élément qui vous définit : (ex. identifiant biométrique, tel qu’une empreinte digitale)
Les périphériques et les applications accédant à vos données se doivent d’être protégés.
Il est toujours utile de joindre les périphériques à Azure AD. Comme pour un Active Directory, la connaissance de ces derniers apporte une meilleure maitrise de la sécurité lors de la création de règles de sécurité :
N’ayant pas de poste joint à Azure AD sur cet environnement de démo, je n’active donc pas ces 2 options dans la configuration.
D/ Méthodes d’authentification
Toujours sur la protection des identités, certaines options supplémentaires sont encore configurables :
Le verrouillage intelligent empêche les attaquants de pénétrer dans le système, tout en permettant à vos utilisateurs d’accéder à leur compte et de travailler :
Le déploiement local de Protection de mots de passe d’Azure AD utilise les mêmes listes globales et personnalisées de mots de passe interdits qui sont stockées dans Azure AD, et effectue les mêmes vérifications des modifications de mot de passe localement :
Comme annoncé avant, la validation en deux étapes permet de renforcer la sécurité de votre compte Microsoft en exigeant une deuxième étape de validation lorsque vous vous connectez.
En plus de votre mot de passe, vous pouvez générer un code par l’application Microsoft Authenticator sur votre téléphone :
Autrement, le standard de sécurité FIDO2 répond à ce problème en s’appuyant là aussi sur une authentification à deux facteurs basés sur l’utilisation de clés de sécurité (clés FIDO2) et de tokens (jetons d’authentification) :
E/ Polices
Les polices d’Azure sont un moyen de contrôler les déploiements des ressources. La solution SMB Fraud Defense vous propose de restreindre les SKUs de familles de machines virtuelles. Cela bloque alors les SKUs les plus coûteux :
Azure offre à ses clients la flexibilité de déployer des applications là où ils en ont besoin. Une région Azure a une tarification et une disponibilité de service distinctes.
Ici, Il est vous possible de restreindre le déploiement sur certaines régions Azure, mais aussi d’activer d’autres fonctionnalités de sécurité :
Tous les onglets ont maintenant été passés en revue, il ne vous reste qu’à déployer la configuration.
Etape IV – Déploiement de la solution Click-to-Run SMB Fraud Defense :
Pour cela, cliquez ici pour lancer le déploiement et attendez quelques minutes :
Une fois le déploiement terminé, un email de notification est également envoyé, et le status de la solution C2R change :
Etape V – Contrôle du déploiement sur le tenant :
Le déploiement est maintenant terminé, une vérification sur le tenant permet de s’assurer la présence de toutes les options choisies durant la phase de la configuration.
A / Localisation
Consultez votre portail Azure et vérifiez la présence du groupe de ressources sur votre souscription Azure Plan :
B/ Budget
Toujours sur la souscription Azure, contrôler l’ajout du budget reprenant le montant configuré :
Cliquez dessus et éditez le pour vérifier la présence des 2 alertes :
C/ Accès conditionnel
La configuration de la restriction géographique s’effectue depuis le portail Azure AD. Consultez la sécurité pour voir l’apparition du pays sélectionné dans les zones de confiance :
Toujours dans Azure AD, chaque option activée a généré la création d’une ou plusieurs polices d’accès conditionnel, toujours en mode audit au moment du déploiement :
D/ Méthodes d’authentification
Le contrôle de la désactivation de l’expiration du mot de passe se fait via le portail Microsoft 365 :
Quant à lui, le contrôle du seuil de verrouillage du compte se fait via le portail Azure AD :
La configuration des deux méthodes MFA d’authentification se retrouve juste ici :
E/ Polices
Du côté d’Azure, contrôlez les polices déployées :
Un clic sur une police affiche le détail de la configuration, comme la région autorisée ou les SKUs interdits :
Conclusion
Alors, finalement nous ne sommes pas si loin des 10 minutes ???? ?
Plus sérieusement, je trouve que ce type de solution est une bonne approche quand on voit l’éparpillement des principales mesures de sécurité, qui sont maintenant indispensables pour sécuriser au minimum un tenant Microsoft.
SMB Fraud Defense de TD SYNNEX doit être perçue comme un point de départ à une configuration sécuritaire, et facile son automatisation lors de la création de tenants.
Enfin, il faut garder en tête que ce type de solution Click-to-Run évolue sans cesse chez TD SYNNEX, grâce aux feedbacks et aux évolutions du Cloud Microsoft ????
Rassurez-vous, Azure Virtual Desktop propose depuis longtemps une intégration avec l’accès conditionnel disponible sur Azure AD. Ce billet, datant déjà de 2019, écrit par Freek Berson, nous montre bien l’intégration entre AVD et FIDO2.
Je souhaitais malgré tout vous écrire un article en français pour détailler le processus de mise en place FIDO2 et les possibilités intéressantes avec AVD.
Qu’est-ce que FIDO2 (Fast IDentity Online 2) ?
La réponse de l’industrie au problème des mots de passe.
Exit donc l’utilisation d’un simple du mot de passe pour valider un processus d’authentification. FIDO2 a été développé par la FIDO Alliance et est à ce jour leur dernière norme.
FIDO2 est bâti sur des spécifications Web Authentication, ou WebAuthn, du World Wide Web Consortium (W3C), donc universel mais disposant de capacités supplémentaires.
Cette vidéo en français explique plusieurs de ces avantages :
USB-A ou C ou encore NFC
Absence de donnée personnelle sur la clef
Code PIN de protection
Zone de contact pour valider une présence physique
Utilisation pour plusieurs comptes
Bon conseil : toujours avoir deux clefs ????.
Puis-je utiliser une clef FIDO2 pour m’authentifier sur Azure AD ?
Oui, Azure AD supporte un grand nombre de méthodes renforcées pour sécuriser l’authentification des utilisateurs. Vous pouvez retrouver cette liste ici, ou dans le portail Azure, via la page des Méthodes d’authentification :
D’une manière générale, Microsoft déconseille l’utilisation unique de mot de passe pour authentifier un compte (Voir tableau ci-dessous). Azure AD propose à ce jour différentes méthodes dans le cadre d’un processus d’authentification multifacteur :
Windows Hello Entreprise
Microsoft Authenticator
Clés de sécurité FIDO2
Ai-je besoin d’une licence particulière pour utiliser FIDO2 ?
FIDO2 n’exige pas de licence particulière, mais l’accès conditionnel en demandera une. En effet, pour intégrer FIDO2 dans une ou plusieurs polices d’accès conditionnel, il vous faudra une licence Azure Premium P1 ou P2 pour tous les utilisateurs concernés.
Fonctionnalité
Azure AD Free – Paramètres de sécurité par défaut
Azure AD Free – Administrateurs généraux uniquement
Office 365
Azure AD Premium P1
Azure AD Premium P2
Accès conditionnel
●
●
Accès conditionnel basé sur les risques
●
Il ne faut pas confondre l’accès conditionnel qui vient en remplacement, car plus abouti et personnalisable que la MFA de base ou les paramètres de sécurité par défaut :
Stratégie
Paramètres de sécurité par défaut
Accès conditionnel
Authentification multifacteur par utilisateur
Gestion
Ensemble standard de règles de sécurité pour garantir la sécurité de votre entreprise
●
Activé/désactivé en un clic
●
Inclus dans la gestion des licences Office 365
●
●
Modèles préconfigurés dans l’assistant Centre d’administration Microsoft 365
●
●
Flexibilité de la configuration
●
Fonctionnalité
Exempter les utilisateurs de la stratégie
●
●
Authentification par appel téléphonique ou SMS
●
●
S’authentifier par Microsoft Authenticator et jetons logiciels
●
●
●
Authentification par FIDO2, Windows Hello Entreprise et les jetons matériels
●
●
Bloque les protocoles d’authentification hérités
●
●
●
Les nouveaux employés sont automatiquement protégés
●
●
Déclencheurs MFA dynamiques en fonction des événements à risque
●
Stratégies d’authentification et d’autorisation
●
Configurable en fonction de l’emplacement et de l’état de l’appareil
●
Prise en charge du mode « Rapport seul »
●
Où peut-on se procurer des clefs FIDO2 ?
Microsoft met à disposition cette liste de fournisseur proposant justement des clefs FIDO2 :
Pour effectuer mes tests sur mon environnement Azure, j’ai décidé d’acheter deux clefs USB-A sous forme de pack auprès de Token2 Switzerland, au prix de 23€, frais de port compris :
Comment procède-t-on pour intégrer FIDO2 à Azure Virtual Desktop ?
Le processus d’installation est très simple, il vous faudra néanmoins quelques prérequis pour arriver à une intégration complète. Dans ce tutoriel, nous allons mettre en place une clef FIDO2 pour un utilisateur et créer deux polices d’accès conditionnel dédiées à AVD :
Etape 0 – Rappel des prérequis :
Les prérequis suivants sont nécessaires pour réaliser cette démonstration avec AVD :
Un poste sous Windows 10 (1903) ou supérieur
Un tenant Microsoft
Une souscription Azure valide
Un environnement AVD déployé (je vous conseille de suivre ce tutoriel)
Une licence Azure AD Premium Plan 1 ou Plan 2
Si votre tenant ne dispose d’aucune licence Azure AD Premium, vous pouvez activer une licence Azure AD Premium Plan 2 en version d’essai directement depuis le portail Azure AD :
Une fois la version d’essai activée, pensez à affecter une licence Azure AD Premium Plan 2 à un utilisateur votre tenant.
Etape I – Configuration du code PIN :
Azure AD exige que les clés de sécurité soient protégées par un code PIN. Insérer votre clef FIDO2 dans un port USB et allez dans les paramètres de votre poste pour le définir :
Cliquez ici pour configurer la clef :
Touchez la zone prévue à cet effet pour continuer :
Définissez un code PIN et confirmez-le :
Etape II – Activation de FIDO2 sur Azure AD :
Sur le portail d’Azure AD, consulter les paramètres de Sécurité via le menu suivant :
Cliquez sur Méthodes d’authentification :
Cliquez sur la ligne FIDO2 :
Activez la fonctionnalité FIDO2, puis cliquez sur Configurer :
Sauvegardez-là avec les options de base :
Quelques minutes sont parfois nécessaire pour continuer sur la configuration FIDO2 au niveau de l’utilisateur. Ne vous inquiétez pas si les écrans suivants ne sont pas encore identiques au tutoriel.
Etape III – Enrôlement d’une clef FIDO2 sur un compte Azure AD :
Comme dit précédemment, la clef FIDO2 n’embarque aucune information personnelle sur les comptes associés à celle-ci. Vous pouvez donc sans souci utiliser la même clef pour plusieurs comptes Azure AD.
Dans mon cas, j’ai créé un nouvel utilisateur pour retester un enrôlement complet.
Rendez-vous sur la page myaccount de Microsoft avec votre utilisateur de test, puis cliquez les Informations de sécurité :
Cliquez ici pour ajouter la première clef FIDO2 :
Dans mon cas, Azure m’avertit que mon utilisateur de test ne dispose d’aucune autre méthode MFA, j’en profite donc pour mettre en place le SMS comme seconde méthode :
Une fois terminé, recommencez le processus pour arriver sur cet écran :
Azure AD entame une communication avec la clef FIDO2 :
Plusieurs messages d’information de Windows 10 vont se succéder :
Renseignez le PIN de votre clef FIDO2, puis continuez :
Touchez la zone prévue à cet effet pour terminer :
Il ne vous reste plus qu’à donner un nom à cette première clef FIDO2 :
Comme il est fortement conseillé, recommencer la même opération avec une seconde clef FIDO2, utilisable en cas de secours :
Etape IV – Test de FIDO2 :
Avant d’aller plus loin dans l’intégration avec Azure Virtual Desktop, je vous conseille de tester l’authentification utilisateur avec sa clef FIDO2. Pour cela ouvrez le navigateur de votre choix en mode privé et allez sur la page web office.com.
Cliquez-ici pour vous authentifier :
Au lieu de saisir le mot de passe du compte de test, cliquez comme ceci :
Renseignez le code PIN de votre clef FIDO2 :
Touchez la zone prévue à cet effet pour confirmer l’authentification :
Cliquez enfin sur Non :
Et vous voilà correctement authentifié sur le portail Office365 ????
Etape V – Création d’une méthode d’authentification renforcée :
En faisant différents tests, je me suis rendu compte que l’on pouvait intégrer le mécanisme FIDO2 à plusieurs niveaux d’AVD.
Encore en préversion à ce jour, connectez-vous au portail d’Azure et rendez-vous dans le service Azure AD avec un compte administrateur adéquat :
Ouvrez le menu Sécurité :
Cliquez sur Méthodes d’authentification :
Cliquez sur Méthodes d’authentification renforcées pour en ajouter une nouvelle :
Terminez la création de celle-ci :
Etape VI – Test de l’accès conditionnel au premier niveau :
Toujours dans votre portail Azure AD, retournez dans la section Sécurité puis cliquez sur Accès conditionnel :
Créez votre nouvelle Police :
Saisissez un nom à votre police et sélectionnez votre utilisateur de test :
Ajoutez l’application Azure Virtual Desktop :
Terminez la configuration en autorisant l’accès sous réserve de satisfaire votre nouvelle méthode d’authentification renforcée :
Attendez quelques minutes et ouvrez votre client Windows d’Azure Virtual Desktop pour tester votre première police d’accès conditionnel :
Renseignez le compte Azure de votre utilisateur de test et constatez la présence de ce message :
Touchez la zone prévue à cet effet pour terminer l’authentification :
Félicitations ! Votre accès AVD est bien protégé par la clef FIDO2 ????.
Etape VII – Test de l’accès conditionnel au second niveau :
En parcourant les fonctionnalités de l’accès conditionnel d’Azure AD, j’ai remarqué une seconde application du Cloud Azure très intéressante :
J’ai donc créé une seconde règle d’accès conditionnel, avec les mêmes autres paramètres pour intégrer un mécanisme FIDO2 au moment de l’ouverture de session Windows d’AVD :
Sur votre application Azure Virtual Desktop, cliquez sur l’icône pour ouvrir une session AVD :
Attendez que le processus continue :
Choisissez le compte autorisé à AVD et disposant d’une clef FIDO2 :
Renseignez le code PIN de votre clef FIDO2 :
Touchez la zone prévue à cet effet pour confirmer l’authentification :
Attendez que la session AVD s’ouvre :
Conclusion
Cette combinaison AVD + AD + FIDO2 fut très intéressante à tester, et assez simple à mettre en place. Cette flexibilité nous montre aussi l’infinité de scénarios possibles pour augmenter la sécurité des utilisateurs sans pour autant rendre le quotidien lourd ou invivable.
Enfin, profitez-en pour sécuriser un peu plus vos comptes à vous ????
Azure Virtual Desktop continue encore d’évoluer et s’associe maintenant avec un autre service réseau du cloud Microsoft : Azure Private Link. En ce début du mois de novembre, Microsoft vient de l’ouvrir en préversion publique pour tester cette fonctionnalité. L’idée est donc de sécuriser d’avantage, par une restriction encore plus poussée, l’accès au service Azure Virtual Desktop.
Pourquoi restreindre un service Cloud ?
Pour répondre à une demande provenant de certaines entreprises. Beaucoup d’entre-elles ont même des exigences légales et ne souhaitent donc pas faire passer un flux réseau à travers internet, quand bien même il s’agirait de communications en HTTPS.
Il paraissait donc important que Microsoft propose ce type de fonctionnalité pour permettre à au service à Azure Virtual Desktop d’être 100% en dehors du web.
Pour parvenir à la mise en place de cette fonctionnalité, Microsoft met déjà à disposition plusieurs documentations, disponibles uniquement en anglais pour l’instant :
En deux mot, Azure Private Link vous permet d’accéder aux services Azure PaaS (par exemple du stockage Azure, compte le compte de stockage ou encore une base de données SQL) depuis votre réseau virtuel :
Voici une vidéo qui aborde le sujet dans son entièreté :
Comment va fonctionner Azure Virtual Desktop avec Private Link ?
Comme pour les autres services proposant cette association, le trafic entre le réseau virtuel et Azure Virtual Desktop transitera par le réseau « dorsal » de Microsoft, ce qui signifie que vous n’aurez plus besoin d’exposer votre AVD à l’Internet.
En termes de sécurité, transiter son trafic dans le réseau « connu » et sécurisé de Microsoft renforcera toujours un peu plus la protection de vos données.
A quel moment intervient le Private Link dans le chemin de connexion entre l’utilisateur et AVD ?
Il peut intervenir à plusieurs niveaux. En effet, la connexion est décomposée en différentes étapes et avec plusieurs composants. Il est alors possible de choisir quelles connexions ont le droit ou non de transiter par internet.
C’est d’ailleurs pour cela que plusieurs options sont présentes dans la configuration réseau d’AVD :
La première option se charge d’autoriser ou non l’accès au service AVD des utilisateurs depuis internet. Autrement la partie frontale de la connexion AVD.
La seconde option se charge d’autoriser ou non l’accès au service AVD des machines virtuelles AVD depuis internet. Autrement la partie arrière-plan de la connexion AVD.
Peut-on utiliser à la fois les fonctionnalités Private Link et RDP Shortpath ?
Durant cette phase de préversion, cela n’est pas possible. Pour rappel RDP Shortpath est une méthode habile d’Azure Virtual Desktop qui établit un transport direct basé sur le protocole UDP entre le client Remote Desktop et l’hôte de session. Tout y est expliqué ici.
Etape 0 – Rappel des prérequis
Pour arriver à la démonstration de l’association entre Azure Virtual Desktop et Private Link, je dispose d’un environnement comprenant des composants déjà en place :
Poste Windows 10 avec Azure VPN
Environnement AVD avec jointure Azure AD
On retrouve ainsi mon premier réseau virtuel comprenant :
La machine virtuelle faisant office de poste utilisateur distant sous Windows 10
Le service Azure Bastion pour m’y connecter plus facilement
J’ai également déployé un second réseau virtuel. Celui-ci comprend
Mon environnement Azure Virtual Desktop
Une passerelle VPN pour assurer la connection entre le poste Windows 10 et AVD
La connexion VPN Point à Site est bien fonctionnelle :
L’accès direct à une des machines virtuelles AVD répond bien.
Comme vous pouvez le voir sur la configuration d’Azure Virtual Desktop, une nouvelle section dédiée au réseau a fait son apparition :
Avant d’aller plus loin, il est donc nécessaire d’activer la fonctionnalité, encore en préversion à l’heure où ces lignes sont écrites.
Etape I – Activation de la fonction de préversion d’Azure Private Link
Comme beaucoup de fonctionnalités encore en préversion, il est nécessaire de l’activer depuis le portail Azure. Pour cela, effectuer l’opération suivante via ce lien :
N’oubliez pas de sélectionner la bonne souscription Azure.
Une fois enregistrée, attendez environ 15 minutes.
Retournez sur la section réseau de votre Azure Virtual Desktop pour constater le déblocage des fonctionnalités réseaux :
Dans cette configuration par défaut, avec les 2 cases de cochées, la connexion réseau transite via internet dans sa totalité :
Entre le client et le service Azure Virtual Desktop
Entre le service Azure Virtual Desktop et les machines virtuelles AVD
Un test, avec le VPN désactivé, montre que la connexion se fait toujours via internet :
Etape II – Restreindre la communication entre le service AVD et le pool d’hôtes au réseau virtuelAzure
La première étape consiste donc à restreindre la communication entre le service Azure Virtual Desktop et les machines virtuelles AVD au réseau virtuel. Pour cela décochez la case suivante et sauvegardez :
Un nouvel essai de connexion utilisateur vous montre le blocage immédiat de cette méthode en passant par internet :
Comme dit plus haut, l’utilisateur n’en est pas responsable : Le service Azure Virtual Desktop est incapable de communique avec la machine virtuelle AVD.
Pour arriver rétablir l’accès au service AVD, nous avons besoin de créer un premier private endpoint en cliquant sur le second onglet de la section réseau :
Pour réactiver les connexions, vous devrez créer un private endpoint pour chaque pool d’hôtes AVD que vous souhaitez autoriser.
Donnez-lui un nom, puis passez à l’onglet suivant :
Laissez cet onglet comme ceci avec le type connexion et passez sur le suivant.
Pour information, il existe différents types de sous-resource cible, ils auront une importance et seront utilisés par la suite :
Type de resource
Type de sous-resource
Quantité
Microsoft.DesktopVirtualization/workspaces
global
Un pour tous les déploiements Azure Virtual Desktop
Microsoft.DesktopVirtualization/workspaces
feed
Un par workspace
Microsoft.DesktopVirtualization/hostpools
connection
Un par pool d’hôtes
Renseignez le réseau / sous réseau de votre environnement Azure Virtual Desktop :
Pour votre information, plusieurs adresses IP privées seront alors allouées pour les services suivants :
Sur l’onglet suivant, une zone DNS privée va être créé pour le private endpoint :
Lancez la création puis attendez :
Une fois créé, la carte réseau du private endpoint nouvellement créé vous montre que chaque service dispose bien d’une adresse IP dédiée :
Important : Pour les gros environnement AVD, prévoir un second sous-réseau pour éviter un souci d’adressage.
Un redémarrage de machines virtuelles AVD plus tard : la connexion AVD depuis le poste client refonctionne sans souci :
Veuillez noter que la copie d’écran ci-dessus montre bien que le VPN d’Azure est toujours déconnecté. Cela montre bien que nous n’avons pas encore influencé la partie frontale du service AVD.
Pour bien comprendre ce qui s’est passé, un test intéressant est de
Créer un groupe de sécurité réseau (NSG)
Y ajouter une restriction d’accès au service publique d’Azure Virtual Desktop
L’associer au sous-réseau contenant les machines virtuelles AVD
Ce test créé une contrainte qui n’empêche pas notre test de fonctionner, car la connexion entre le service Azure Virtual Desktop et les machines AVD transite par le private endpoint nouvellement créé.
J’ai également fait un autre test de retirer le private endpoint. Les machines virtuelles AVD apparaissent alors bien comme étant injoignables pour le service Azure Virtual Desktop :
Maintenant, la seconde étape est de restreindre également l’accès au service Azure Virtual pour les postes connectés uniquement à internet.
Etape IIIa – Restreindre la communication entre le service AVD et les utilisateurs au réseau virtuel
La première étape consiste donc à restreindre la communication entre le service AVD et les utilisateurs via internet. Pour cela, décochez la case suivante et sauvegardez :
Un nouvel essai de connexion à AVD nous montre le blocage immédiat de cette méthode en passant par internet :
Un rafraichissement de l’espace de travail AVD montre maintenant un refus d’affichage de celui-ci :
Pour terminer la configuration, nous avons besoin de créer deux autres private endpoints.
Pour cela, allez sur l’espace de travail AVD, allez dans la section réseau, décochez la case et sauvegardez :
Comme précédemment, commencez par créer un private endpoint comme ceci :
Nommez-le différemment du premier private endpoint créé durant l’étape précédente :
Choisissez cette fois-ci la sous-resource cible de type Feed :
Renseignez le réseau / sous réseau où votre environnement Azure Virtual Desktop :
Là encore, des adresses IP privées seront allouées pour les services suivants :
Sur l’onglet suivant, la première zone DNS privée va être réutilisée pour le second private endpoint, rattaché à votre espace de travail :
Lancez la création puis attendez :
Une fois créé, retournez sur la page d’Azure Virtual Desktop pour créer le troisième private endpoint de type Global.
Etape IIIb – Restreindre la communication entre le service AVD et les utilisateurs au réseau virtuel
Microsoft conseille d’isoler ce private endpoint sur un espace de travail dédié au réseau. En effet, ce private endpoint unique de type Global pourrait service servir à tous les réseaux virtuels appairés.
Pour cela, créez un nouvel espace de travail AVD :
Nommez-le et lancez sa création :
Une fois créé, retournez-y, décochez là encore l’option réseau, puis sauvegardez.
Créez ici le troisième private endpoint et remplissez le premier onglet comme les 2 précédentes fois :
Choisissez le type de sous-resource cible Global :
Choisissez un réseau en relation directe avec votre environnement AVD :
Pour information, une adresse IP privée sera là-encore allouée pour le service suivant :
Sur l’onglet suivant, la première zone DNS privée va être réutilisée pour le troisième private endpoint, rattaché à ce nouvel espace de travail :
Lancez la création puis attendez :
Etape IV : Configuration du réseau on-premise
Pour que la connexion restreinte à Azure Virtual Desktop fonctionne bien, il est nécessaire d’apporter les enregistrements DNS créés précédemment sur le réseau on-premise.
Comme mon réseau on-premise est virtuellement créé sur Azure, j’ai choisi de créer une seconde zone DNS privée avec le même nom et de la rattacher à mon réseau on-premise :
Reprenez tous les enregistrements présents dans la zone DNS créée par les private endpoints.
Si comme moi votre réseau on-premise est dans Azure, associez cette zone DNS privée à celui-ci.
Etape V : Test de la connexion via Azure VPN Point à Site
Sur le poste on-premise de test, effectuez un premier test de connexion à l’URL d’Azure Virtual Desktop tout en ayant la connexion VPN de stoppée :
Constatez avant tout que la page n’est dorénavant plus joignable :
Démarrez votre connexion VPN grâce au client Azure VPN :
Recharger la page web du service Azure Virtual Desktop et renseignez vos identifiants de l’utilisateur de test :
Cliquez sur l’icône de bureau à distance :
Renseignez une seconde fois son mot de passe :
Et vus voilà dans votre session AVD !
Un test de déconnexion de la connexion VPN affectera immédiatement la session utilisateur d’AVD :
Réactiver la connexion VPN pour retrouver la session AVD.
Etape VI : Résumé des ressources Azure créées
Afin d’apporter plus de clarté à toutes ces opérations de déploiement, voici un récapitulatif du travail effectué dans cet article sur mon environnement Azure :
3 private endpoints :
3 cartes réseaux :
2 zones DNS privées :
1 second espace de travail AVD :
Etape VI : Aide à la résolution
Si l’installation s’est déroulée sans accro, mais que vous n’arrivez toujours pas à vous reconnecter à votre environnement Azure Virtual Desktop, voici quelques pistes qui peuvent vous aider :
Absence du premier private endpoint sur le pool d’hôtes AVD.
Connexion VPN non démarrée.
Authentification correcte, mais absence d’enregistrements DNS www, rdweb et client sur le réseau on-premise.
Authentification correcte, mais absence d’enregistrements DNS .rdweb sur le réseau on-premise.
Authentification correcte, mais absence d’enregistrements DNS gateway sur le réseau on-premise.
Conclusion
Par cette nouvelle fonctionnalité, Microsoft apporte encore plus de liberté dans la manière d’utiliser son environnement AVD, avec toujours plus d’exigences de sécurité. La possibilité de restreindre le service AVD à différents types de connexions sécurisées, comme les VPNs ou encore Azure ExpressRoute était attendue depuis longtemps.
Comme toujours, Dean de l’Azure Academy a préparé une vidéo très explicative de la mise en route ????
Azure propose depuis longtemps plusieurs méthodes efficaces pour le stockage de donnée dans le Cloud. Disponibles sous différentes formes, le compte de stockage est une méthode PaaS (Platform As A Service) simple, rapide à déployer et pouvant correspondre à de nombreux scénarios d’architecture.
Il y a tant de choses à dire sur le compte de stockage d’Azure, qu’un seul article ne suffira pas. Dans cet article, nous allons donc parcourir les principales fonctionnalités du compte de stockage à travers différentes questions que l’on peut naturellement se poser.
Quels sont les principaux bénéfices du compte de stockage Azure ?
Il est facile de résumer les principaux avantages à utiliser un compte de stockage Azure :
Résilient : comme beaucoup de services Azure, celui-ci affiche une haute disponibilité grâce à différents types de redondance (LRS/ZRS/GRS). De plus, les outils de sauvegarde natifs d’Azure s’y applique également.
Sécurisé : toute donnée sur un compte de stockage Azure est systématiquement chiffrée. Ce chiffrage est aussi gérable avec une clef CMK.
Adaptatif : la flexibilité est une composante majeure du compte de stockage Azure grâce à une tarification ajustable selon la fréquence et les besoins en taille et en performances.
Accessible : les données stockées sont accessibles depuis n’importe où dans le monde via le protocole HTTPS. Microsoft fournit également des bibliothèques clientes dans de nombreux langages, notamment .NET, Java, Node.js, Python, PHP, Ruby, Go.
Quels services de stockage sont alors possibles sur un Azure Storage Account ?
Un compte de stockage Azure propose 4 différents services de stockage, selon la nature même des objets à stocker :
Objets blob : stockage objet hautement scalable pour les données texte ou binaires.
Partage de fichier : partage de fichiers classique géré via le protocole SMB.
Files d’attente : outil de messagerie entre différents composants d’application.
Tables : magasin NoSQL pour le stockage sans schéma de données structurées.
Quels types de compte de stockage Azure sont disponibles ?
Plusieurs types de comptes de stockage sont proposés par Azure. Il faut en retenir que l’utilisation de tel ou tel type de compte de stockage dépend de la performance désirée et du mode de réplication :
Type
Services disponibles
Options de redondance disponibles
Usage général v2 Standard
Blob, File d’attente, Table et Azure Files
LRS ZRS GRS RA-GRS GZRS RA-GZRS
Objets bloc blob Premium
Stockage Blob
LRS ZRS
Partage de fichiers Premium
Azure Files
LRS ZRS
Objets page blob Premium
Objets page blob de pages
LRS
Les comptes de stockage à hautes performances proposent une réplication limitée.
Comment la réplication fonctionne sous Azure ?
Les centres de données Azure sont maintenant présents en grand nombre à travers le monde. Il existe donc plus de 60 régions Azure, elles-mêmes regroupées en géographie :
Dans une région Azure, souvent composé de plusieurs centres, aussi appelés zone de disponibilité, sont interconnectés via un réseau haute performance et apporte une protection supplémentaire contre les défaillances matérielles, les pannes de réseau, d’électricité ou les catastrophes naturelles.
Comme vu précédemment, les options de réplication disponibles vont dépendre du type de compte de stockage sélectionné :
Donnée sur une région Azure :
Stockage localement redondant (LRS) : 3 copies synchrones dans un seul centre de données d’une seule région.
Stockage redondant interzone (ZRS) : 3 copies synchrones dans les 3 centres de données d’une seule région.
Donnée sur deux régions Azure (région paire de la première)
Stockage géo-redondant (GRS) : 3 copies synchrones dans un seul centre de données d’une seule région + 3 copies asynchrones dans un seul centre de données de la région paire de la première.
Stockage géo-redondant avec accès en lecture (RA-GRS) : 3 copies synchrones dans un seul centre de données d’une seule région + 3 copies asynchrones dans un seul centre de données de la région paire avec accès en lecture.
Stockage géo-redondant interzone (GZRS) : 3 copies synchrones dans 3 centres de données d’une seule région + 3 copies asynchrones dans un seul centre de données de la région paire.
Stockage géo-redondant interzone avec accès en lecture (RA-GZRS) : 3 copies synchrones dans les 3 centres de données d’une seule région + 3 copies asynchrones dans un seul centre de données de la région paire avec accès en lecture.
Ces options de réplication ont évidemment un impact conséquent sur les prix, comme le montre ce lien vers le calculateur Azure :
Comment accède-t-on à différents objets sur le compte de stockage ?
Un stockage de données a besoin au minium d’un point réseau pour remplir son rôle dans l’architecture. Par défaut, tout compte de stockage dispose d’URL uniques. Celles-ci reprennent le nom du compte de stockage suivi du service de stockage employé :
Service de conteneurs : https://mystorageaccount.blob.core.windows.net
Service de table : https://mystorageaccount.table.core.windows.net
Service de file d’attente : https://mystorageaccount.queue.core.windows.net
Partage de fichiers : https://mystorageaccount.file.core.windows.net
Par exemple, cet accès public met à disposition de la donnée sans authentification, comme par exemple pour un conteneur blob public :
Une URL ne signifie pas que l’accès est non contrôlé, comme le montre la création d’un second conteneur :
L’accès est bien refusé car une authentification est nécessaire.
L’accès au contenu devra donc passer par l’utilisation d’une des 2 clefs du compte de stockage, pour générer une signature d’accès partagé (SAS). L’avantage de cette gestion est de mieux gérer les droits précis et la durée d’accès :
Les choses sont sensiblement proches pour un partage de fichiers. Dans ce service, l’authentification est possible de 2 manières :
Active Directory
Clef du compte de stockage
La première méthode demande au préalable de joindre le compte de stockage à un domaine Active Directory. Un précédent article parlant de FSLogix, au sein d’un environnement Azure Virtual Desktop, en fait référence ici.
La seconde méthode repose assez sur l’utilisation d’une des 2 clefs du compte de stockage. C’est un risque d’octroyer plus que de droits que nécessaires, car une clef donne un accès complet au compte de stockage.
Important : Microsoft le précise, vos clés d’accès de compte de stockage sont similaires au mot de passe racine pour votre compte de stockage. Veillez toujours à protéger vos clés d’accès :
Utilisez le service Azure Key Vault pour gérer et effectuer la rotation de vos clés en toute sécurité.
Évitez de distribuer des clés d’accès à d’autres utilisateurs, de les coder en dur ou de les enregistrer en texte brut dans un emplacement accessible à d’autres personnes.
Effectuez une rotation de vos clés si vous pensez qu’elles ont pu être compromises.
Exemple de montage du partage de fichier via le script proposé sur le portail et utilisant une des 2 clefs du compte de stockage :
Peut-on restreindre les IP publiques pouvant s’y connecter ?
Même en possession de la clef du compte de stockage, un autre poste ayant une IP publique non référencée ne pourra s’y connecter :
Attention, la mise en place de cette restriction bloquera automatiquement l’accès aux ressources situées de la même région Azure :
Les services déployés dans la même région que le compte de stockage utilisent des adresses IP Azure privées. Vous ne pouvez donc pas restreindre l’accès à des services Azure spécifiques en fonction de leur plage d’adresses IP sortantes publiques.
Pour les ressources Azure situées dans la même région que le compte de stockage, il est alors nécessaire de rajouter le réseau virtuel Azure pour retrouver un accès public fonctionnel :
Cette action ajoute un point de terminaison du service sur le sous-réseau rajouté sur la configuration :
Peut-on fermer l’accès public (URL) et ne transiter que via un adressage réseau privé ?
Il parfaitement possible de fermer l’accès public et d’intégrer le compte de stockage sur un réseau virtuel privé Azure.
Un point de terminaison privé est une interface réseau qui utilise une adresse IP privée de votre réseau virtuel. Cette interface réseau vous connecte de manière privée et sécurisée à un service fonctionnant avec Azure Private Link. En activant un point de terminaison privé, vous intégrez le service à votre réseau virtuel.
Ayant associé un service DNS privé à mon réseau virtuel, je retrouve bien un enregistrement dns pointant vers mon compte de stockage :
L’accès est bien à nouveau fonctionnel depuis le réseau virtual Azure :
La mise en place du point de terminaison privé permet alors la désactivation complète de l’accès public du compte de stockage :
La fermeture de l’accès public a aussi pour effet de restreindre l’accès aux données du compte de stockage depuis le portail Azure :
Existe-t-il un soft-delete pour les données ?
Oui et non ????. Les services de stockages principalement utilisés sont le blob et le partage de fichier. Le soft-delete consiste à ne pas vraiment supprimer définitivement la donnée lors de sa suppression par un utilisateur.
Le stockage blob propose deux soft-deletes : Un pour le container tout entier et un autre pour les blobs eux-mêmes :
Le partage de fichier ne propose l’option que pour la suppression du partage de fichiers, pas son contenu individuel :
Comment sauvegarder facilement les données ?
Deux services du compte de stockage se sauvegardent très facilement à travers des services Azure.
Le stockage blob nécessite la mise en place d’un coffre de sauvegarde, en veillant à le placer dans la même région Azure que le compte de stockage à sauvegarder :
Une fois le coffre de sauvegarde créé, mettez en place votre sauvegarde :
Définissez votre police de sauvegarde selon vos besoins de rétention :
Ajoutez le compte de sauvegarde blob et attendez quelques minutes pour confirmer sa validation :
Le coffre de sauvegarde a besoin du rôle pour pouvoir gérer la sauvegarde blob, cliquez comme ceci pour ajouter le rôle attendu :
Ce rôle est bien implémenté sur le compte de stockage :
Attendez quelques minutes pour constater la validation :
Déclenchez la configuration de sauvegarde, il est à noter que nous n’avons jamais pu choisir le ou les conteneurs du compte de stockage à sauvegarder :
Un contrôle dans le coffre de sauvegarde nous montre bien la bonne prise en compte de la configuration :
Pour le partage de fichier, il est nécessaire de passer par la création d’un coffre de récupération Azure :
Une fois le coffre de récupération créé, mettez en place votre sauvegarde :
Ajoutez le compte de stockage et le partage de fichier à sauvegarder, définissez la police et activez la sauvegarde :
Contrôler le paramétrage dans le coffre de récupération :
Comment fonctionne la synchronisation entre différents comptes de stockage ?
Lorsque la réplication d’objets blob est activée, les blobs sont copiés de manière asynchrone depuis un compte de stockage source vers un compte de stockage de destination.
Créez une règle de réplication sur le premier compte de stockage (source) :
Vérifiez le contre paramétrage sur le compte de stockage (destination) :
Comme la réplication est asynchrone, il faut attendre plusieurs minutes pour constater l’apparition des blobs sur le second compte de stockage :
Peut-on réduire les coûts blob ?
La gestion blob via un cycle de vie utilise des règles pour déplacer automatiquement les blobs vers des niveaux plus froids ou pour les supprimer. Cette stratégie est intéressante car les coûts varient selon la chaleur du stockage :
Cette variation impacte également le prix des transactions blob :
Par exemple, la création de règle en escalier est logique pour refroidir d’anciennes sauvegardes :
Si vous créez plusieurs règles, les actions associées doivent être mises en œuvre dans l’ordre des niveaux (du stockage chaud au stockage froid, puis l’archivage, puis la suppression).
Conclusion
On pourrait continuer encore longtemps sur toutes les autres fonctionnalités proposées par le compte de stockage Azure. Je vous conseille les vidéos suivantes pour en apprendre un peu plus ????????
Bonne nouvelle en ce début du mois de novembre, Microsoft a réouvert le processus gratuit de migration de données 365 pour les tenants existants. De quoi parle-t-on exactement ? En quelques mots, ces dernières années, Microsoft a ouvert de plus en plus de centres de données, et cela allonge donc automatiquement la liste des pays. Cet avantage permet aux entreprises de choisir dans quel pays les données 365 seront stockées.
Qu’est-ce que la résidence des données 365 ?
Avant toute chose, Microsoft liste leurs termes et définitions en relation avec la résidence de données 365 juste ici.
Important : les services 365 s’exécutent sur l’ensemble des centres de données Microsoft. A ce titre, les données peuvent donc être stockées dans plusieurs centres de données dans le cadre de transit :
La résidence des données fait ici donc référence à l’emplacement géographique où les données 365 sont stockées au repos.
Pourquoi s’intéresser à la résidence des données 365 ?
La résidence des données est cruciale pour les gouvernements, les entreprises du secteur public, les organismes d’éducation ou encore les entreprises travaillant dans des secteurs réglementés. Cette exigence est alors indispensable afin d’accroître la protection des informations personnelles et/ou sensibles.
Quelle est la résidence des données 365 par défaut ?
Lorsqu’on créé un nouveau tenant, il vous est systématiquement demandé de spécifier un pays durant le processus de création.
Important : Une fois le tenant créé, la zone géographique par défaut ne peut plus être modifiée.
Pourquoi changer la résidence des données ?
De plus, de nombreux pays exigent de leurs entreprises afin qu’elles se conforment aux lois, aux réglementations ou aux normes de secteur qui régissent explicitement l’emplacement du stockage des données.
Changer la résidence des données 365 est alors utile pour se conformer à ces règles, mais offre une également proximité entre le stockage des données et les utilisateurs finaux.
Qu’est-ce que le programme de déplacement hérité Data Residency?
Coïncidant avec le lancement du module complémentaire Microsoft 365 Advanced Data Residency, le programme de déplacement n’est plus proposé lors du lancement de nouvelles régions de centre de données locales.
Cette ouverture permettait donc de pouvoir migrer gratuitement les données de la région macro vers une région de centre de données locale qui correspond au pays d’inscription initial.
Autrement dit, de l’Europe vers la Suisse, la France, …
Comment activait-on cette demande de migration ?
Les clients éligibles voyaient cette option dans leur Centre d’administration Microsoft 365. Cocher cette case permettra de demander que leurs données applicables soient déplacées vers leur nouvelle région de centre de données :
Quand est-ce que la migration allait être opérée ?
Comme le monde la copie d’écran du tenant ci-dessus, la migration du tenant pouvait prendre jusqu’à 24 mois, à partir de la date d’échéance de la demande. La bonne nouvelle est que Microsoft a réouvert ce service gratuit, et ce pour une dernière fois !
Pendant combien de temps je peux activer cette option ?
Le tableau ci-dessous affiche la liste des pays éligibles et les dates associées. Il faut donc cocher la case précédente avant la fin de la période du pays qui vous concerne :
Important : Il s’agit de la dernière fenêtre de migration gratuite possible !!! Après ces dates, ce service existera toujours, mais sera payant ????
Et si j’ai d’autres questions concernant la migration ?
Microsoft met à disposition une FAQ concernant ce service et peut déjà répondre à certaines de vos interrogations ????
Comme à chaque fois, Microsoft propose à tous de passer des challenges techniques, dans le but d’obtenir des vouchers pour des certifications Microsoft gratuitement.
Le défi prendra fin le 9 novembre 2022 à 16 h 00 UTC. Veillez à terminer tous les modules de votre défi avant cette date :
0
Years
:
0
Months
:
0
J
:
0
H
:
0
M
:
0
S
Quel que soit le nombre de défis Microsoft Learn Cloud Skills que vous relevez, vous ne pouvez remporter qu’un seul examen de certification Microsoft gratuit.
Votre offre d’examen de certification Microsoft gratuit sera envoyée d’ici le 18 novembre 2022 et expirera le 15 février 2023. Vous devez terminer votre examen avant cette date. Nous vous recommandons vivement de faire votre réservation au moins une semaine à l’avance. Pour consulter la liste complète des examens éligibles, reportez-vous aux règles officielles.
Une nouvelle certification dédiée à la sécurité du Cloud Microsoft a fait son apparition il y a déjà quelques mois. Contrairement aux autres certifications dédiées au même sujet de niveau intermédiaire, celle-ci est de niveau expert. Elle ne se focalise par uniquement sur un pan sécuritaire spécifique du Cloud Microsoft, que ce soit Azure, Azure AD ou Microsoft 365.
Microsoft est d’ailleurs assez clair dans la description de ce que l’on peut attendre d’un Architecte en cybersécurité :
L’architecte de cybersécurité collabore continuellement avec les dirigeants et les professionnels en matière de sécurité informatique et de confidentialité, ainsi que d’autres rôles organisationnels, afin de planifier et d’implémenter une stratégie de cybersécurité répondant aux besoins d’une organisation.
Comment comprendre le niveau Expert chez Microsoft ?
Je persiste à dire que les certifications de niveau Expert ont une utilité dans la connaissance macro du cloud Microsoft. Aucune volonté de réapprendre les fondamentaux de tel ou te service de sécurité, de leur fonctionnement précis, mais bien de comment les intégrer dans une stratégie sécuritaire globale de l’entreprise.
Il vous faut donc percevoir cette certification de la même manière que celles dédiées aux Architectes Azure ou aux Administrateurs Expert 365. N’en doutez-pas, les gammes de produits disponibles chez les acteurs majeurs du cloud publics sont tellement gigantesques que des rôles se sont nécessaire pour maîtriser cette vue d’ensemble et coordonner le tout.
Comment obtenir cette certification ?
Comme toutes les autres certifications de niveau expert, la certification ne s’obtient pas qu’avec un seul examen. Un examen de niveau associé est nécessaire pour obtenir le précieux badge.
En plus de l’examen SC-100, il vous faudra obtenir un des examens suivants :
Aucune nécessité de programmer le passage d’examen dans un ordre précis.
Quels sont les sujets abordés dans cette certification ?
Microsoft continue toujours de lister les compétences mesurées depuis la page d’examen :
Concevoir une stratégie et une architecture zéro confiance (30-35 %)
Évaluer les stratégies techniques et les stratégies d’opérations de sécurité de gouvernance des risques (20-25 %)
Concevoir la sécurité pour l’infrastructure (20-25%)
Concevoir une stratégie de données et d’applications (20-25 %)
Le fichier PDF lui aussi disponible sur cette même page reprend toujours en détail ces pourcentages de chaque module.
Il a changé depuis peu et intègre maintenant tous les liens utiles à la préparation de l’examen. De plus il vous détaille aussi les prochains changements opérés par Microsoft sur cet examen, pour vous permettre d’appréhender au mieux sa future mise à jour.
Comment préparer cette certification ?
Depuis peu, Learn est maintenant au centre de l’offre d’apprentissage proposé par Microsoft, que ce soit pour la documentation en libre accès ou pour les cours officiels dispensés par un MCT (Microsoft Certified Trainer) :
Cette mise à disposition complète et gratuite de contenus d’apprentissage est donc aussi valable pour la préparation de certifications Microsoft, via la mise en place de collections accessibles à tous :
L’authentification sur Learn est conseillé car elle vous permet alors de suivre votre progression d’apprentissage, et même d’accumuler des badges de succès obtenus après la lecture complète de modules :
Des contrôles de connaissances sont régulièrement intégrés en fin de module pour vous aider à valider votre compréhension :
Quoi d’autres ?
Des contenus adaptés à cet examen sont aussi disponibles sur des sources externes, comme sur ce blog ???? :
Comme toujours, une autre source me sert et m’informe sur Azure toutes les semaines : YouTube. John Savill reste pour moi une valeur sûre sur le fond et sur la forme. Il suffit de voir le temps passé sur cet examen sur cette vidéo :
John en a même fait une playlist YouTube pour rentrer en détail dans chacun des sujets ????.
Microsoft Learn Cloud Skills Challenge3
Petit rappel : comme à chaque Ignite, Microsoft vous propose de passer de petits challenges techniques. Ces challenges sont un moyen facile d’obtenir des connaissances techniques mais également des vouchers pour des certifications Microsoft. Tout cela gratuitement !
Ne tardez pas pour vous en occuper avant le 09 novembre !
0
Years
:
0
Months
:
0
J
:
0
H
:
0
M
:
0
S
Conclusion
Au final, et comme dit précédemment, le passage de cet examen m’a fait penser aux autres certifications de niveau expert. La majorité des questions ont concerné des connaissances précises sur la sécurité, sans en attendre un côté incollable. L’important est d’en avoir une vue d’ensemble sur les capacités générales pour faire face à différentes exigences de sécurité.
Comme vous le savez déjà, ce type de certification Microsoft doit être renouvelée tous les ans pour conserver sa validité. Ce cycle de re certification est pour moi une excellente approche pour se tenir informé des nouvelles menaces et mesures de sécurité disponibles sur le marché.
FIDO2
English
Français
Deutsch
Română
Español