Azure Local 中虚拟机的 Azure 验证

2025-06-04

适用于：Azure Local 2311.2 及更高版本

Microsoft Azure 提供了一系列仅为在 Azure 上运行的差异化工作负载和功能。 Azure 本地扩展了从 Azure 获取的许多相同优势，同时在同一熟悉且高性能的本地或边缘环境中运行。

VM 的 Azure 验证使受支持的 Azure 独占工作负荷能够在云外部工作。此功能在 Azure 中的 IMDS 证明服务后建模，是默认在 Azure 本地上启用的内置平台证明服务。这有助于为这些 VM 提供在其他 Azure 环境中运行的保证。

有关此功能早期版本 22H2 或更高版本的详细信息，请参阅 Azure 本地版的 Azure 权益。

Azure Local 提供的好处

通过适用于 VM 的 Azure 验证，可以使用仅在 Azure 本地可用的这些优势：

工作负荷	介绍	如何获取权益
扩展安全更新 (ESU)	对于 Azure Local 上的 SQL 和 Windows Server VM，无需额外付费即可获取安全更新。有关详细信息，请参阅 Azure 本地的免费扩展安全更新（ESU）。	对于运行 Windows Server 2012 版本或更早版本且已安装最新服务堆栈更新的较旧虚拟机，你必须启用旧版操作系统支持。
Azure 虚拟桌面 (AVD)	AVD 会话主机只能在 Azure 基础结构上运行。使用 Azure VM 验证在本地 Azure 上激活 Windows 多会话虚拟机。 AVD 的许可要求仍适用。请参阅 Azure 虚拟桌面定价。	从 2024 年 4 月 9 日发布的 4B 更新（22H2：KB5036893，21H2：KB5036894）或更高版本后，运行 Windows 11 多会话版本的虚拟机将自动激活。运行 Windows 10 多会话版本且安装了 2024 年 4 月 9 日发布的 4B 更新或更高版本（KB5036892）的 VM，必须启用旧版 OS 支持。
Windows Server Datacenter：Azure Edition	Azure Edition VM 只能在 Azure 基础结构上运行。激活 Windows Server Azure Edition VM，并使用最新的 Windows Server 创新和其他独占功能。许可要求仍适用。查看在 Azure 本地设备上许可 Windows Server VM 的方法。	已自动为运行 Windows Server Azure Edition 2022 的 VM 激活，其中包含 2024 年 4 月 9 日发布的 4B 更新 (KB5036909) 或更高版本。
Azure 更新管理器	不付费获取 Azure 更新管理器。此服务提供 SaaS 解决方案，用于管理和管理 Azure 本地 VM 的软件更新。	可自动用于通过 Azure Arc 资源网桥在 Azure 本地创建的 Azure 本地虚拟机。通过软件保障，您可以使用 Windows Server Azure 的权益和许可证来验证您的设备，并免费获得 AUM。有关详细信息，请参阅 Azure 更新管理器常见问题解答。
Azure Policy 来宾配置	免费获取 Azure Policy 来宾配置。此扩展允许将操作系统设置视为代码，以便审核和配置计算机和虚拟机。	Arc 代理版本 1.39 或更高版本。请参阅最新代理版本。

注意

若要确保持续功能，请在 2024 年 6 月 17 日之前将 Azure 本地上的 VM 更新为最新的累积更新。此更新对于 VM 继续使用 Azure 权益至关重要。有关详细信息，请参阅 Azure 本地博客文章。

管理 Azure VM 验证

默认情况下，Azure 本地版中会自动启用 Azure VM 验证。以下说明概述了使用此功能的先决条件以及管理权益的步骤（可选）。

注意

若要启用扩展安全更新（ESU），必须执行其他设置并启用旧版 OS 支持。

主机先决条件

请确保有权访问 Azure 本地。所有计算机都必须联机、注册和系统部署。有关详细信息，请参阅使用 Arc 注册计算机，并参阅通过Azure 门户部署。
安装 Hyper-V 和 RSAT-Hyper-V-Tools。
（可选）如果使用 Windows Admin Center，则必须安装群集管理器扩展（版本 2.319.0）或更高版本。

VM（虚拟机）先决条件

请确保更新 VM。请参阅工作负载的版本要求。
打开 Hyper-V 来宾服务接口。请参阅 Windows Admin Center 或 PowerShell 的说明。

可以使用 Windows Admin Center 或 PowerShell 管理 Azure VM 验证，也可以使用 Azure CLI 或 Azure 门户查看其状态。以下部分详细介绍了每种选项。

在 Azure 本地资源页中，导航到 “配置 ”选项卡。
在 Azure 对虚拟机的验证功能下，查看主机证明状态。

Azure CLI 可用于在 Windows、macOS 和 Linux 环境中安装。也可以在 Azure Cloud Shell 中运行。本部分介绍如何在 Azure Cloud Shell 中使用 Bash。有关详细信息，请参阅 Azure Cloud Shell 快速入门。

启动 Azure Cloud Shell 并使用 Azure CLI 检查 Azure VM 验证，请执行以下步骤：

设置订阅、资源组、群集名称的参数。

subscription="00000000-0000-0000-0000-000000000000" # Replace with your subscription ID
resourceGroup="local-rg" # Replace with your resource group name
clusterName="LocalCluster" # Replace with your cluster name

az account set --subscription "${subscription}"

若要查看群集上的 Azure VM 验证状态，请运行以下命令：

az stack-hci cluster list \
--resource-group "${resourceGroup}" \
--query "[?name=='${clusterName}'].{Name:name, AzureBenefitsHostAttestation:reportedProperties.imdsAttestation}" \
-o table

检查 Azure VM 验证的计算机状态

Azure VM 验证设置成功后，可以查看主机状态。运行以下命令检查系统属性 IMDS认证：
```
Get-AzureStackHCI
```
或者，若要查看计算机的 Azure VM 验证状态，请运行以下命令：
```
Get-AzureStackHCIAttestation [[-ComputerName] <string>]
```

排除机器故障

如果一台或多台计算机的 Azure VM 验证尚未同步并续订到 Azure，则可能显示为 “已过期 ”或 “非活动”。计划手动同步：
```
Sync-AzureStackHCI
```

管理在 VM 上激活的权益

若要检查对 Azure VM 验证的访问权限，请运行以下命令：
```
Get-AzStackHCIVMAttestation
```
注意

v2 支持的 VM 可以使用 VMBus 与计算机通信。相反， v1 支持的 VM 配置了旧版 OS 支持，并且可以通过 REST 访问 Azure VM 验证。如果一个 VM 同时支持 v1 和 v2，则主要使用 v2 方法（即 VMBus），但如果 v2 遇到问题，则可以回退到 v1。

虚拟机故障排除

若要为 VM 设置对 Azure VM 验证的访问权限，可以启用 Hyper-V 来宾服务接口。

若要检查 Hyper-V 来宾服务接口是否已启用，请运行：
```
Get-VMIntegrationService [[-VMName] <VMName>] -Name "Guest Service Interface"
```

若要打开 Hyper-V 来宾服务接口，请执行以下操作：

Enable-VMIntegrationService [[-VMName] <VMName>] -Name "Guest Service Interface"

若要检查 VM 是否可以访问主机上的 Azure VM 验证，请在主机上运行以下命令：

Invoke-RestMethod -Headers @{"Metadata"="true"} -Method GET -Uri "http://127.0.0.1:42542/metadata/attested/document?api-version=2018-10-01" –usedefaultcredentials

旧版 OS 支持

对于缺少所需的 Hyper-V 功能（来宾服务接口）来与主机直接通信的旧 VM，必须配置用于 Azure VM 验证的传统网络组件。如果有这些工作负载（如扩展安全更新（ESU），请按照本部分中的说明设置旧版 OS 支持。

目前无法查看Azure 门户的旧版 OS 支持。

启动 Azure Cloud Shell 并使用 Azure CLI 通过以下步骤检查 Azure VM 验证：

从您的订阅、资源组和群集名称中设置参数：

subscription="00000000-0000-0000-0000-000000000000" # Replace with your subscription ID
resourceGroup="local-rg" # Replace with your resource group name
clusterName="LocalCluster" # Replace with your cluster name

az account set --subscription "${subscription}"

若要查看群集上的旧版 OS 支持状态，请运行以下命令：

az stack-hci cluster list \
--resource-group "${resourceGroup}" \
--query "[?name=='${clusterName}'].{Name:name, AzureBenefitsHostAttestation:reportedProperties.supportedCapabilities}" \
-o table

1.在主机上启用旧版 OS 支持

在 Azure Local 的提升 PowerShell 窗口中运行以下命令：
```
Enable-AzStackHCIAttestation
```
或者，如果要在设置中添加所有现有 VM，则可以运行以下命令：
```
Enable-AzStackHCIAttestation -AddVM
```

检查是否启用了旧版 OS 支持：

Get-AzureStackHCIAttestation [[-ComputerName] <string>]

排除机器故障

若要关闭和重置系统上的旧版 OS 支持，请运行以下命令：
```
Disable-AzStackHCIAttestation -RemoveVM
```

2.为 VM 启用访问权限

若要为所选 VM 配置网络访问，请在 Azure 本地服务器上运行以下命令：
```
Add-AzStackHCIVMAttestation [-VMName]
```
或者，若要添加所有现有 VM，请运行以下命令：
```
Add-AzStackHCIVMAttestation -AddAll
```
获取有权访问旧版 OS 支持的 VM 的列表：
```
Get-AzStackHCIVMAttestation
```
注意

若要在第 1 代 VM 上成功启用旧版 OS 支持，必须先关闭 VM，才能添加 NIC。

虚拟机故障排除

若要删除对所选 VM 的旧版 OS 支持，请执行以下操作：
```
Remove-AzStackHCIVMAttestation -VMName <string>
```
或者，若要移除所有现有 VM 的访问权限，请执行以下操作：
```
Remove-AzStackHCIVMAttestation -RemoveAll
```

若要检查 VM 是否可以访问主机上的旧版 OS 支持，请在 VM 上运行以下命令：

Invoke-RestMethod -Headers @{"Metadata"="true"} -Method GET -Uri http://169.254.169.253:80/metadata/attested/document?api-version=2018-10-01

常见问题解答

本部分提供有关使用 Azure 权益的一些常见问题的解答。

通过 Azure VM 验证可以启用哪些 Azure 独有的工作负荷？

请参阅此处的完整列表。

启用 Azure VM 验证是否需要花费任何费用？

否。启用 Azure VM 验证不会产生额外的费用。

是否可以在 Azure 本地以外的环境中使用 Azure VM 验证？

否。 Azure VM 验证是 Azure 本地内置的一项功能，只能在 Azure 本地上使用。

如果我刚刚从 22H2 升级，并且之前启用了 Azure 权益功能，我是否需要采取新的措施？

如果您升级了以前为工作负载设置了 Azure 本地的 Azure 权益的系统，那么在升级到 Azure 本地时无需执行任何操作。升级时，该功能仍处于启用状态，旧版 OS 支持也处于打开状态。但是，如果要使用改进的方法来通过 VM 总线执行 VM 到主机通信，请确保具有所需的主机先决条件和 VM 先决条件。

我只是在系统上设置 Azure VM 验证。如何确保 Azure 虚拟机验证保持为活跃状态？

在大多数情况下，不需要用户执行任何操作。 Azure 本地在与 Azure 同步时自动续订 Azure VM 验证。
但是，如果系统断开连接超过 30 天，Azure VM 验证显示为 “已过期”，则可以使用 PowerShell 和 Windows Admin Center 手动同步。有关详细信息，请参阅同步 Azure 本地。

部署新 VM 或删除 VM 时会发生什么情况？

部署需要 Azure VM 验证的新 VM 时，如果 VM 满足正确的 VM 先决条件，系统会自动激活这些 VM。
但是，对于使用旧版 OS 支持的旧 VM，可以使用前面的说明手动添加新 VM 以使用 Windows Admin Center 或 PowerShell 访问 Azure VM 验证。
仍可以像平常一样删除和迁移 VM。迁移后，NIC AZSHCI_GUEST-IMDS_DO_NOT_MODIFY 仍会在 VM 上存在。若要在迁移之前清理 NIC，可以使用 Windows Admin Center 或 PowerShell 从 Azure VM 验证中删除 VM，并使用上述旧版 OS 支持说明删除 VM，也可以先迁移，然后手动删除 NIC。

添加或删除计算机时会发生什么情况？

添加计算机时，如果计算机具有正确的主机先决条件，则会自动激活它。
如果使用旧版 OS 支持，可能需要手动启用这些计算机。在 PowerShell 中运行 Enable-AzStackHCIAttestation [[-ComputerName] <String>]。你仍然可以像往常一样删除或移除系统中的计算机。从系统中删除后，计算机上仍存在 vSwitch AZSHCI_HOST-IMDS_DO_NOT_MODIFY。如果你计划稍后将计算机重新添加到系统中，你可以保留它；否则，你可以手动将其删除。

后续步骤

Azure 本地上的扩展安全更新（ESU）。
Azure 本地环境概述。
Azure 本地常见问题解答。

通过