Azure

Azure Arc

Overview

Azure Arc projiziert Ressourcen außerhalb von Azure als Azure-Ressourcen mit eigener Ressourcen-ID in eine Resource Group. Das betrifft physische Server und VMs im eigenen Rechenzentrum oder bei anderen Cloud-Anbietern (Arc-enabled servers), Kubernetes-Cluster, SQL Server sowie VMware-vSphere- und SCVMM-Umgebungen. Azure-VMs selbst werden nicht per Arc angebunden.

Sobald ein Server in Azure sichtbar ist, gelten dort Tags, Azure RBAC und Azure Policy. Dazu lassen sich Dienste wie Azure Update Manager, Machine Configuration, Azure Monitor, Change Tracking and Inventory, Microsoft Defender for Cloud und Microsoft Sentinel nutzen.

Arc ist zugleich der Lizenzweg für mehrere Angebote: Extended Security Updates für ältere Windows Server, Windows Server pay-as-you-go und die Windows Server Management Benefits für Lizenzen mit Software Assurance laufen über Arc.

How it works

Die Anbindung eines Servers läuft so:

  1. Im Portal ein Onboarding-Skript erzeugen oder für viele Server per Gruppenrichtlinie, Configuration Manager oder Service Principal ausrollen.
  2. Der Azure Connected Machine Agent wird installiert und baut eine ausgehende HTTPS-Verbindung zu Azure auf, eingehende Ports sind nicht nötig.
  3. Der Server erscheint als Ressource vom Typ Machine - Azure Arc. Der Agent sendet alle fünf Minuten einen Heartbeat. Nach 15 bis 30 Minuten ohne Heartbeat gilt der Server als getrennt, nach 45 Tagen als abgelaufen.
  4. Über VM-Erweiterungen werden Zusatzdienste wie Azure Monitor Agent oder Defender verteilt.

Für private Anbindung ohne öffentliche Endpunkte gibt es Azure Arc Private Link Scopes.

Benefits

  • Eine Verwaltungsoberfläche für Azure-VMs und lokale Server, inklusive Policy, Inventar und Patchstatus
  • Zentrale Patch- und Sicherheitsverwaltung ohne eigene WSUS- oder Monitoring-Infrastruktur
  • Workloads müssen nicht migriert werden, um von Azure-Diensten zu profitieren
  • Lizenzvorteile wie Extended Security Updates und Windows Server Management Benefits sind nur über Arc nutzbar

Practical example

Ein Lohnfertiger mit 40 Hyper-V-VMs im eigenen Rechenzentrum möchte WSUS ablösen und den Patchstand für die NIS2-Dokumentation nachweisen. Die IT rollt den Connected Machine Agent per Gruppenrichtlinie aus, ordnet die Server nach Standort in Resource Groups und plant Patches über Azure Update Manager. Weil die Windows-Server-Lizenzen aktive Software Assurance haben, fallen für Update Manager keine Zusatzkosten an. Der Patch-Bericht kommt nun aus einer Azure-Workbook-Ansicht statt aus Excel.

Things to keep in mind

  • Kosten der Zusatzdienste pro Server vorab kalkulieren, der Agent allein ist kostenlos, Update Manager, Machine Configuration, Monitor und Defender nicht
  • Prüfen, ob Software Assurance oder Defender for Servers Plan 2 vorhanden sind, weil damit mehrere Dienste ohne Aufpreis nutzbar werden
  • Ausgehende Endpunkte des Agents in Firewall und Proxy freigeben
  • Onboarding-Service-Principal mit minimaler Rolle (Azure Connected Machine Onboarding) und kurzer Gültigkeit anlegen
  • Abgelaufene Server nach 45 Tagen Trennung bereinigen oder neu verbinden

Licensing & availability

Die Anbindung per Arc sowie Inventar, Tags, Resource Graph, Run Command und SSH über Arc sind kostenlos. Kostenpflichtig pro Server und Monat sind Zusatzdienste wie Azure Update Manager, Machine Configuration, Azure Monitor, Defender for Cloud und Sentinel. Defender for Servers Plan 2 enthält Update Manager und Machine Configuration. Windows-Server-Lizenzen mit aktiver Software Assurance oder Subscription schalten Update Manager, Machine Configuration und Change Tracking ohne Aufpreis frei, Log-Ingestion kann trotzdem kosten. Stand: Oktober 2026.

Conclusion

Azure Arc macht hybride Serverlandschaften mit Azure-Werkzeugen verwaltbar. Prüfe vor dem Rollout, welche Dienste Dir Deine Lizenzen bereits ohne Aufpreis freischalten.

Further reading

Related articles