Azure Arc: gerencie servidores locais e na nuvem em um só painel

O que é o Azure Arc e por que ele importa para empresas com servidores locais

Muitas empresas brasileiras vivem hoje em um ambiente misto. Parte da operação já está no Microsoft 365 e em máquinas virtuais no Azure, mas uma parte importante continua em servidores físicos ou virtualizados na própria sede ou em data center: o ERP que não pode sair do lugar, o servidor de arquivos, o banco de dados de um sistema legado, o controlador de domínio da filial. O resultado costuma ser previsível. Cada ambiente tem sua própria ferramenta, sua planilha de inventário e sua rotina de atualização, e ninguém consegue dizer com segurança quantos servidores estão sem patch ou fora do padrão de segurança.

O Azure Arc foi criado para resolver esse problema. Ele estende o plano de controle do Azure para recursos que estão fora dele: servidores Windows e Linux on-premises, máquinas virtuais em VMware ou Hyper-V e até instâncias em outras nuvens, como AWS e Google Cloud. Depois de conectado, o servidor aparece no portal do Azure como um recurso comum. Ele pode ser organizado em grupos de recursos, receber tags, ter permissões controladas por RBAC e ser gerenciado com as mesmas ferramentas usadas para as VMs nativas da nuvem.

O ponto central é que nada precisa ser migrado. O servidor continua rodando onde está, com o mesmo hardware, a mesma rede e as mesmas aplicações. Muda a forma de gerenciá-lo. Para empresas que ainda não podem ou não querem levar tudo para a nuvem, seja por latência, regulação, investimento recente em hardware ou dependência de sistemas locais, o Arc é um caminho prático para uma gestão híbrida organizada.

O Azure Arc não move o servidor para a nuvem. Ele leva a gestão da nuvem até o servidor.

Como funciona: o agente Connected Machine e a conexão segura

A integração é feita por um componente leve chamado Azure Connected Machine Agent, instalado em cada servidor. Ele registra a máquina no Azure, mantém uma identidade gerenciada para ela e serve de ponte para as extensões que trazem cada funcionalidade: monitoramento, atualizações, segurança e políticas. A instalação pode ser feita servidor a servidor, com um script gerado no próprio portal, ou em escala, com uma entidade de serviço e ferramentas que a equipe de TI já usa no dia a dia.

• Script individual gerado no portal do Azure, ideal para pilotos e ambientes pequenos;
• Implantação em massa com service principal, via Group Policy, Microsoft Configuration Manager ou Ansible;
• Integração com VMware vSphere e System Center VMM, que permite descobrir e conectar as VMs a partir do próprio virtualizador.

A preocupação mais comum em projetos híbridos é a segurança da conexão, e aqui o desenho do Arc ajuda bastante. O agente se comunica apenas de dentro para fora, por HTTPS na porta 443. Não é preciso abrir portas de entrada no firewall nem publicar o servidor na internet. Em redes mais restritas, o tráfego pode passar por um proxy corporativo ou por Azure Private Link, que mantém a comunicação em um caminho privado. Para o time de redes, a mudança se resume a liberar a saída para os endpoints do Azure documentados pela Microsoft.

Outro detalhe que pesa na decisão é o custo. Os recursos básicos do plano de controle do Azure Arc, como inventário, organização por tags, grupos de recursos e controle de acesso, não têm cobrança adicional. Os serviços ligados ao servidor, como Update Manager, Defender for Cloud e Azure Monitor, seguem o modelo de cada produto. Servidores Windows cobertos por Software Assurance ou por licenciamento pay-as-you-go ainda podem ter acesso a vários desses recursos de gerenciamento sem custo extra, pelo benefício chamado Windows Server Management enabled by Azure Arc. Por isso vale revisar o licenciamento antes de estimar o investimento.

Atualizações centralizadas com o Azure Update Manager

A gestão de patches costuma ser o primeiro ganho visível de um projeto com Azure Arc. Com o Azure Update Manager, todos os servidores conectados, Windows ou Linux, locais ou na nuvem, passam a ser avaliados em um único painel. O serviço verifica periodicamente quais atualizações estão pendentes, separa por classificação (críticas, de segurança, cumulativas, entre outras) e mostra quais máquinas estão em conformidade com a política definida pela empresa.

A partir disso, a equipe de TI cria configurações de manutenção com janelas programadas. É possível, por exemplo, aplicar atualizações críticas nos servidores de aplicação toda terça-feira à noite, deixar os controladores de domínio para o fim de semana e manter um grupo de teste recebendo os patches alguns dias antes do restante. Tudo isso sem WSUS espalhado por filiais e sem depender de alguém lembrar de entrar em cada máquina.

1. Conecte os servidores ao Azure Arc e organize-os em grupos de recursos ou por tags (ambiente, cliente, criticidade);
2. Ative a avaliação periódica para ter um retrato atualizado das atualizações pendentes;
3. Crie janelas de manutenção por grupo, com regras de reinicialização compatíveis com a operação;
4. Acompanhe os relatórios de conformidade e trate as exceções, como servidores que falharam ou ficaram sem reiniciar.

O histórico de cada execução fica registrado, o que facilita auditorias e responde a uma pergunta que toda diretoria acaba fazendo depois de um incidente: "esse servidor estava atualizado?". Em ambientes com servidores próximos do fim do ciclo de suporte, o Azure Arc também é o canal oficial da Microsoft para ativar e cobrar as Extended Security Updates (ESU) em versões elegíveis do Windows Server, com cobrança mensal em vez de um contrato anual fechado.

Inventário, políticas e conformidade em um só lugar

Saber exatamente o que existe no ambiente é a base de qualquer gestão de TI, e esse costuma ser um ponto fraco em empresas que cresceram rápido. Com os servidores no Azure Arc, o inventário deixa de ser uma planilha desatualizada. O Azure Resource Graph permite consultar toda a frota em segundos, filtrando por sistema operacional, versão do agente, localização, tags ou status de conexão. O recurso de Change Tracking and Inventory vai além e registra softwares instalados, serviços, arquivos e chaves de registro, mostrando o que mudou, quando mudou e em qual servidor.

A segunda camada são as políticas. Com o Azure Policy e o Machine Configuration, a empresa define como os servidores devem estar configurados e o Azure audita isso continuamente dentro do sistema operacional. Alguns exemplos práticos:

• Verificar se os servidores seguem a linha de base de segurança da Microsoft para Windows ou Linux;
• Garantir que todos tenham o agente de monitoramento e a proteção de endpoint instalados;
• Identificar servidores com protocolos inseguros habilitados, como versões antigas de TLS ou SMBv1;
• Exigir tags obrigatórias, como responsável, centro de custo e ambiente, para manter a governança organizada.

Essas políticas valem para servidores locais e VMs na nuvem ao mesmo tempo, e os desvios aparecem em um painel único de conformidade. Para empresas que precisam comprovar controles em auditorias de LGPD, ISO 27001 ou exigências de clientes corporativos, ter evidências geradas automaticamente economiza semanas de trabalho manual. Somam-se a isso o Azure Monitor, que coleta métricas e logs com o Azure Monitor Agent e dispara alertas de disco, memória e serviços parados, e o acesso remoto pelo próprio portal, com Windows Admin Center e SSH, sem expor RDP na internet.

Microsoft Defender for Servers nos servidores on-premises

Ataques de ransomware raramente começam pelo servidor mais protegido. Eles entram pelo ponto esquecido: aquela máquina antiga na filial, o servidor de teste que virou produção, o host que ninguém lembra de atualizar. Com o Azure Arc, os servidores locais passam a ser protegidos pelo Microsoft Defender for Cloud com o plano Defender for Servers, o mesmo usado nas cargas de trabalho nativas do Azure.

Na prática, o servidor ganha a integração com o Microsoft Defender for Endpoint, com detecção e resposta (EDR), análise comportamental e isolamento remoto em caso de comprometimento. No plano mais completo entram ainda a avaliação de vulnerabilidades, que mostra quais softwares instalados têm falhas conhecidas e qual a prioridade de correção, e o monitoramento de integridade de arquivos, que alerta quando arquivos críticos do sistema são alterados. O Plano 2 também inclui o uso do Azure Update Manager nos servidores conectados pelo Arc, o que pode mudar a conta do projeto.

Todas as recomendações aparecem consolidadas no Secure Score, uma pontuação que mostra a postura de segurança do ambiente e o impacto de cada correção. Os alertas podem ser integrados ao Microsoft Sentinel ou ao SOC que já atende a empresa. O resultado é uma visão única de risco para todo o parque, sem uma ferramenta para a nuvem e outra para o data center.

Segurança híbrida funciona quando o servidor da filial recebe a mesma proteção, a mesma política e o mesmo nível de visibilidade que a VM mais crítica da nuvem.

Como começar e como a Duk pode ajudar

Adotar o Azure Arc não exige um projeto grande desde o primeiro dia. O caminho mais seguro começa com um levantamento do parque (quantos servidores, quais sistemas operacionais, quais versões, quais são críticos) e um piloto com poucas máquinas para validar conectividade, proxy e permissões. Com o piloto aprovado, a expansão segue em ondas, ativando os serviços pela ordem de prioridade do negócio: normalmente atualizações e inventário primeiro, depois segurança, políticas e monitoramento. Também vale definir desde o início um padrão de tags e de grupos de recursos, porque é ele que vai sustentar relatórios, permissões e janelas de manutenção.

Alguns cuidados evitam surpresas: revisar o licenciamento do Windows Server para aproveitar os benefícios disponíveis, estimar o custo mensal de cada serviço antes de ativá-lo em toda a frota, definir quem pode executar ações remotas pelo portal e documentar as janelas de manutenção com as áreas de negócio. Projetos híbridos dão certo quando tecnologia, processo e governança andam juntos. Sem isso, o painel único vira só mais uma tela.

A Duk Informática & Cloud atua há mais de 18 anos com infraestrutura, cloud e segurança para empresas e já atendeu mais de 550 clientes. Como Microsoft Gold Partner, a Duk ajuda do levantamento inicial à operação contínua: planeja a conexão dos servidores ao Azure Arc, configura o Update Manager e as janelas de manutenção, aplica políticas de conformidade, ativa o Defender for Servers e acompanha o ambiente com suporte e SLA. Se a sua empresa tem servidores locais que precisam continuar onde estão, mas com gestão e segurança de nuvem, a Duk pode desenhar com você o modelo híbrido mais adequado à sua operação e ao seu orçamento.