Azure

Azure Machine Configuration

Allgemeine Infos

Azure Machine Configuration, früher Guest Configuration, ist die Funktion von Azure Policy, die in das Betriebssystem einer Maschine hineinschaut. Sie prüft oder setzt Einstellungen wie TLS-Vorgaben, lokale Gruppen, Dienste oder installierte Software auf Azure-VMs und über Azure Arc auch auf Servern im eigenen Rechenzentrum oder in anderen Clouds.

Zwei Einsatzszenarien beschreibt Microsoft: Compliance (alle Maschinen prüfen und neue Maschinen direkt richtig konfigurieren) und Konfigurationsverwaltung (einen Server vollständig als Code beschreiben). Machine Configuration ist der Nachfolger von Azure Automation State Configuration, das am 30. September 2027 endet.

Abgrenzung: Azure Policy allein bewertet nur die Azure-Ressource, etwa SKU oder Tags, Machine Configuration bewertet das Innere der Maschine. Desired State Configuration (DSC) ist die Konfigurationssprache, Machine Configuration der Dienst, der DSC-basierte Pakete verteilt, ausführt und Ergebnisse meldet. Gruppenrichtlinien wirken nur auf domänengebundene Windows-Systeme, Machine Configuration auch auf Linux und Workgroup-Server.

Funktionsweise & Details

So greifen die Komponenten ineinander:

  1. Eine Policy-Definition (eingebaut oder selbst erstellt) verweist auf ein Konfigurationspaket und wird einem Bereich wie einer Management Group zugewiesen.
  2. Azure legt pro Maschine eine Gastzuweisung (Guest Assignment) als Erweiterungsressource an, bis zu 50 pro Maschine.
  3. Auf Azure-VMs führt eine eigene VM-Erweiterung die Pakete aus, auf Arc-Servern ist der Agent im Azure Connected Machine Agent enthalten. Microsoft liefert eine eingebaute Policy-Initiative, die die Voraussetzungen auf Azure-VMs verteilt.
  4. Der Modus bestimmt das Verhalten: Audit meldet nur, Apply and Monitor setzt einmal und meldet Abweichungen, Apply and Autocorrect setzt und korrigiert Abweichungen automatisch.
  5. Die Ergebnisse je Einstellung erscheinen auf der Seite Gastzuweisungen und in der Compliance-Ansicht von Azure Policy.

Eigene Pakete entstehen mit dem PowerShell-Modul GuestConfiguration aus DSC-Ressourcen. Unterstützt werden unter anderem Windows Server 2012 bis 2025, Windows 10 und 11, Ubuntu, RHEL, SUSE und Debian, nicht dagegen Arm64-VMs in Azure und VM Scale Sets im Modus Uniform. Verliert ein Arc-Server die Verbindung, bleiben lokale Zuweisungen 14 Tage erhalten.

Vorteile & Nutzen

  • Eine Härtungsvorgabe gilt für Azure-VMs und lokale Arc-Server gleichermaßen, weil beide über dieselbe Policy-Zuweisung gesteuert werden
  • Apply and Autocorrect stellt manuell geänderte Einstellungen selbständig zurück und verhindert so schleichenden Konfigurationsdrift
  • Compliance-Nachweise je Einstellung liegen zentral in Azure Policy und eignen sich als Beleg in NIS2- oder ISO-27001-Audits
  • Funktioniert ohne Domänenmitgliedschaft und für Linux, wo Gruppenrichtlinien nicht greifen
  • Migrationsziel für Azure Automation State Configuration, sodass DSC-Wissen weiter nutzbar bleibt

Praxisbeispiel

Ein Chemiehändler mit 250 Mitarbeitenden betreibt 30 Windows-Server, die Hälfte davon lokal auf Hyper-V und per Azure Arc angebunden. Für die NIS2-Dokumentation soll nachweisbar sein, dass SMBv1 deaktiviert ist und nur TLS 1.2 oder höher läuft. Die IT weist die passenden Machine-Configuration-Richtlinien im Modus Audit auf der Management Group zu und wertet zwei Wochen lang die Abweichungen aus. Danach schaltet sie die unkritischen Einstellungen auf Apply and Autocorrect um. Der Compliance-Bericht aus Azure Policy geht als Beleg in die Auditunterlagen.

Worauf sollte man achten?

  • Neue Zuweisungen immer zuerst im Modus Audit ausrollen, weil Apply-Modi Einstellungen sofort ändern und produktive Anwendungen treffen können
  • Einige eingebaute Richtlinien sind reine Audit-Definitionen, etwa die Azure Compute Security Baseline, dort setzt auch ein Enforce-Modus nichts durch
  • Auf Arc-Servern die Lizenzlage vorab klären, weil Machine Configuration dort pro Server berechnet wird, sofern kein Lizenzvorteil greift
  • Bestehende DSC-Konfigurationen aus Azure Automation rechtzeitig vor dem 30. September 2027 migrieren und als Paket mit dem Modul GuestConfiguration neu bauen
  • Eigene Pakete in einem Speicher mit eingeschränktem Zugriff ablegen und versionieren, weil sie auf allen zugewiesenen Maschinen Code ausführen

Lizenz & Verfügbarkeit

Für Azure-VMs kostenlos. Für Arc-Server Abrechnung pro verwaltetem Server, stündlich anteilig, als gemeinsamer Posten mit Change Tracking and Inventory. Ohne Aufpreis enthalten in Microsoft Defender for Servers Plan 2 und für Windows Server mit Software Assurance oder aktiven Abonnementlizenzen über Windows Server Management enabled by Azure Arc (nach Aktivierung bzw. Bestätigung). Datenerfassung in Log Analytics wird getrennt berechnet. Stand: Oktober 2026.

Fazit

Machine Configuration ist der Azure-Weg, Betriebssystem-Einstellungen hybrider Server nachweisbar einzuhalten. Starte im Audit-Modus und stelle Azure Automation State Configuration vor dem Stichtag 2027 um.

Weiterführende Links

Verwandte Artikel