Azure Arc : comment administrer un serveur Linux depuis Azure

Connecter un VPS OVH à Azure Arc

Pour ce tutoriel, rien de très exotique : d’un côté, un abonnement Azure et un Resource Group déjà prêts ; de l’autre, un petit VPS chez OVH qui nous servira de cobaye. J’ai choisi Ubuntu pour cette démonstration. Azure Arc prend en charge de nombreuses distributions Linux, mais pensez à vérifier la compatibilité de votre version exacte avant de vous lancer.

Depuis le portail Azure, recherchez « Azure Arc », puis lancez l’ajout d’une machine. L’objectif n’est pas de créer une VM dans Azure : nous allons enregistrer notre serveur OVH existant comme machine Azure Arc.

Pour cette démonstration, inutile de complexifier la configuration : nous conservons l’essentiel des options par défaut :

• Connectivity Method : Public endpoint, pour permettre à l’agent de communiquer avec les services Azure via Internet.
  • No proxy server configuration : notre VPS dispose déjà d’un accès Internet sortant.
• Authentication : Authenticate machines manually, afin d’effectuer l’enregistrement avec notre compte Azure.

Une fois les paramètres validés, Azure génère un script d’installation et d’enregistrement à exécuter sur le VPS Linux. Il contient les informations nécessaires pour rattacher notre machine à l’abonnement et au Resource Group de test sélectionnés.

Avant d’exécuter le script, vérifiez ces deux prérequis :

• Connectivité HTTPS sortante : le serveur doit pouvoir joindre, sur le port 443, les points de terminaison nécessaires à Azure Arc (voici les URLs à rendre disponibles pour affiner vos règles réseau).
• Droits administrateur sur le VPS (root ou sudo).

De mon côté, j’ai enregistré le script dans un fichier sur le VPS, puis je l’ai rendu exécutable avec chmod +x nom-du-script.sh avant de le lancer. Voici le type de retour obtenu dans le terminal :

Pendant l’enregistrement, une authentification Azure est demandée via le mécanisme « device code » : il suffit d’ouvrir l’URL indiquée et de saisir le code affiché dans le terminal.

Après quelques instants, si tout s’est bien passé, retournez dans le portail Azure : une nouvelle ressource représentant votre serveur Linux apparaît dans le Resource Group choisi.

Que peut-on faire avec un serveur Azure Arc ?

Notre VPS est maintenant référencé dans Azure, sans avoir quitté OVH. La vraie question devient donc : que peut-on en faire depuis le portail ?

Une fois le serveur connecté, Azure Arc ouvre plusieurs possibilités d’administration, de supervision et de gouvernance. Voici celles qui me semblent les plus intéressantes à explorer selon vos usages :

Connexion SSH depuis Azure

Oui, on sait déjà se connecter directement à un VPS Linux ! 😉 – L’intérêt ici est de pouvoir intégrer l’accès à l’écosystème Azure et, avec la configuration et les extensions adaptées, utiliser des identités Microsoft Entra ID plutôt que de dépendre uniquement des comptes locaux Linux. 🔐

Extensions Azure Arc

Azure Arc permet de gérer à distance des extensions compatibles, notamment pour la supervision ou certaines fonctions de sécurité et d’authentification. Le catalogue peut aussi proposer des solutions partenaires, selon l’OS et les disponibilités.

Centralisation des logs avec Azure Monitor

Avec Azure Monitor Agent et une règle de collecte (DCR), les journaux sélectionnés peuvent remonter dans un Log Analytics Workspace. On retrouve alors les données au même endroit, avec la possibilité de les interroger en KQL et, si besoin, de les exploiter dans Microsoft Sentinel. Attention à la facturation de l’ingestion et de la rétention.

Azure Policy : contrôler la conformité

Appliquer des règles de gouvernance aux machines Arc, par exemple pour auditer la présence d’une extension ou la conformité d’une configuration. Certaines vérifications nécessitent des composants supplémentaires sur le serveur.

Pour illustrer le principe, j’ai affecté la stratégie « Linux Arc-enabled machines should have Azure Monitor Agent installed ». Elle permet d’auditer la présence de l’agent Azure Monitor sur les machines Linux connectées à Azure Arc. C’est un bon moyen d’identifier les serveurs qui ne respectent pas ce standard. Attention toutefois : la présence de l’agent ne suffit pas, à elle seule, à faire remonter les métriques CPU et RAM ; il faut aussi configurer leur collecte dans Azure Monitor.

Machine Configuration : vérifier la configuration du serveur

Ici, la configuration « LinuxNoPasswordForSSH » est affichée comme conforme, avec une règle sur une règle respectée. La vérification provient d’Azure Policy et fonctionne en mode audit : elle permet de contrôler un paramètre de configuration SSH sans le modifier automatiquement. Pour connaître exactement le test effectué, il faut ouvrir le détail de la configuration.

J’ai effectué cette configuration manuellement sur le serveur en modifiant le fichier config SSH et désormais cette information est tracée et remonte directement dans Azure. Alors bien sûr, l’idée c’est d’avoir ce type d’infos non pas pour 1 serveur isolé mais pour l’ensemble d’un parc informatique ! 😉

Run Command (Preview) : exécuter une commande à distance

Cette fonctionnalité (encore en preview) permet d’exécuter une commande sur une machine Arc compatible directement depuis Azure, sans ouvrir de session SSH interactive. Pour une démonstration sans risque, j’ai utilisé cat /etc/os-release afin de récupérer les informations sur la distribution Linux. Une façon très concrète de montrer l’administration à distance.

SQL Server Configuration

Cette option concerne surtout la découverte et la gestion de certaines instances SQL Server installées sur des machines connectées à Azure Arc. Peu pertinent pour notre VPS Ubuntu, mais intéressant dans un contexte de parc de serveurs SQL hybride.

Updates : Azure Update Manager

Cette section renvoie à Azure Update Manager, qui centralise l’évaluation et la gestion des correctifs sur les machines prises en charge. J’ai lancé une recherche manuelle des mises à jour disponibles sur mon VPS, sans les installer. On peut aussi automatiser les évaluations et planifier des déploiements pendant des fenêtres de maintenance, en tenant compte de la compatibilité de l’OS, des redémarrages éventuels et de la tarification.

Dans la capture ci-dessous, on voit que j’ai exécuté un contrôle manuel de la disponibilité d’updates pour mon serveur et que celle-ci s’est terminée sans erreur. ✅

Tableaux de bord avec Grafana

En connectant les données de supervision à une source compatible, on peut construire des tableaux de bord plus personnalisés, notamment avec Azure Managed Grafana. Ce n’est pas automatique après l’enregistrement Arc : il faut configurer la collecte, la source de données et tenir compte du coût du service.

Enfin, Azure Arc permet également d’intégrer le serveur à des services de sécurité comme Microsoft Defender for Cloud, selon les plans et fonctionnalités activés. L’intérêt est de rapprocher la posture de sécurité des machines hébergées chez OVH de celle des ressources Azure, avec une visibilité plus homogène sur un environnement hybride. Attention, ces protections ne sont pas toutes incluses gratuitement. 😉