Windows Server Summit | Azure Arc - das "Intune für Server"

WSUS ist abgekündigt und Intune funktioniert nicht für Server. Wie kann ich denn jetzt meine Server verwalten?

Endlich hat Microsoft eine Antwort darauf: Azure Arc! Den Dienst gibt es schon seit einiger Zeit, aber mittlerweile mausert er sich zum "Intune for Servers". Dies wird klar, wenn man sich vor allem die Funktionen anschaut, die kürzlich hinzugekommen oder für dieses Jahr geplant sind. Microsoft platziert Azure Arc mittlerweile als "SCCM/MECM modernization".

Die folgenden Funktionen sind nur ein Ausschnitt - die Planungen (Stichworte: Softwareverteilung, Anwendungspatching, Tasksequenzen...) machen klar, wo die Reise hingeht.

Serververwaltung und Konnektivität mit Azure Arc modernisieren

Azure Arc gateway

Für Kunden, die nicht möchten, dass ihre Server direkte Internetkonnektivität erhalten, wird es bald einen Proxydienst für Azure Arc geben, der lokal bereitgestellt werden kann.

Azure Machine Configuration

Azure bietet einen Dienst namens Azure Policy, über den Sicherheits- und Compliance-Richtlinien unter Beachtung gängiger Standards wie z.B. ISO 27001 auf Systeme verteilt werden können. Über Azure Arc können diese Richtlinien auch auf lokal bereitgestellte Systeme angewendet und automatische Behebungen bewirkt werden.

Azure Update Manager

Der Update Manager dient zur Verwaltung und Verteilung der monatlichen Aktualisierungen für Windows Server. Dementsprechend ist dieser Dienst als Ablösung der klassischen Windows Server Update Services (WSUS) zu sehen, die Microsoft vor kurzem abgekündigt hat.

Azure Change Tracking and Inventory

Über diesen Bereich ist es möglich, Veränderungen an den Systemen in einer Übersicht zu sehen sowie eine Inventarliste aller Systeme einzusehen.

Azure Run Command

Über diese Funktion können Skripte auf den in Azure Arc integrierten Systemen ausgeführt werden (sowohl Windows als auch Linux).

Azure-arc enabled management and pay-as-you-go for Windows Server

Pay as you go

Mit Windows Server 2025 gibt es neben klassischen Volumenlizenzen und CSP-Abonnements nun eine weitere Möglichkeit zur Lizenzierung: Pay-as-you-go. Die Kosten liegen bei 33,58$ pro Kern pro Monat (bzw. 0,046$ pro Kern pro Stunde), wobei die ersten 7 Tage kostenlos sind. Ebenso wird die Nutzung von Windows Insider Builds kostenlos sein.

Der Server muss dazu in Azure Arc eingebunden werden. Dies kann entweder schon während der Installation oder nachträglich erfolgen. Dies ist beispielsweise in den folgenden Szenarien hilfreich:

• Temporäre Installationen
• Neue Windows Server 2025-VM auf älterem Windows Server-Host (bei Verwendung von Hyper-V)
• Physische Server

Verwaltungsfunktionen

Die folgenden Funktionen sind alle in Software Assurance und Pay-as-you-go inkludiert, erzeugen also in diesen Fällen keine zusätzlichen Kosten.

Windows Admin Center in Azure Arc

Wer Windows Admin Center aus einer lokalen Installation vielleicht bereits kennt, wird sich hier schnell zurechtfinden - die Funktionen des WAC sind im Azure Arc-Portal integriert.

Remote Support

Bei Windows Clients unter "Remoteunterstützung" bekannt - dieser Ansatz wurde für Windows Server weiterentwickelt und in Azure Arc integriert.

Network HUD

Diese Funktion bietet eine Übersicht des lokalen Netzwerks und soll Optimierungs- und Entstörungsunterstützung bieten.

Best Practices Assessment

Wer kennt den Best Practices Analyzer von Windows Server? Während die lokale Version recht statisch ist, werden in Azure Arc immer wieder Empfehlungen hinzugefügt und überarbeitet.

Azure Site Recovery configuration

Über diese Funktion werden Server für die Verwendung von Azure Site Recovery (ein Dienst für die Sicherung lokaler Server nach Azure sowie Bereitstellung in Azure für den Katastrophenfall) vorbereitet. Es ist jedoch nach wie vor erforderlich, Azure Site Recovery selbst in Azure bereitzustellen und zu konfigurieren.

Hotpatching und Updateverwaltung für Windows Server mit Azure Arc

Immer wieder sorgen die monatlichen Aktualisierungen für Schweißperlen auf der Stirn - wird der Server nach dem Neustart wieder normal starten...? Zugegeben, dieses Problem wird zwar nicht gelöst, aber zumindest werden die Intervalle zwischen den Wartungsfenstern größer - mit Hotpatching!

Hotpatching funktioniert im Quartals-Rhythmus - im ersten Monat eines Quartals werden Baseline-Aktualisierungen bereitgestellt (also im Grunde das bisherige klassische Aktualisieren mit Neustart). Die folgenden zwei Monate werden ausschließlich Sicherheitsupdates so bereitgestellt und so installiert, dass kein Neustart erforderlich ist.

Es gibt jedoch einen Knackpunkt - die virtualisierungsbasierte Sicherheit muss für den Server aktiviert werden, was ein TPM (bzw. ein virtuelles TPM) erfordert. Dies mag nicht in jeder Umgebung ohne weiteres möglich sein.

Darüber hinaus ist Hotpatching kostenpflichtig, sofern der Server nicht in Azure oder Azure Local betrieben wird: 1,50$ pro Kern pro Monat. Übrigens: in Azure (Local) ist Hotpatching schon ab Windows Server 2022 verfügbar, lokal erst ab Windows Server 2025.

Weitere Informationen

Offizielle Videos:
Modernize server management and connectivity with Azure Arc - Windows Server Summit
Azure Arc-enabled management and pay-as-you-go for Windows Server - Windows Server Summit
Hotpatching and update management for Windows Server with Azure Arc - Windows Server Summit

Übersicht aller Artikel: Windows Server Summit - kurz und knackig!