Integrazione VMware Unified Access Gateway con autenticazione Azure MFA

 Per procedere all’integrazione  con Azure MFA è necessario eseguire delle configurazioni su Azure Active Directory  (non entrerò nel dettaglio di queste configurazioni) ma per procedere nell’abilitazione dell’autenticazione a più fattori sull’UAG è necessario accedere all’Enterprise Application creata e scarica il file XML con i metadata. Inoltre verificare che nella Basic SAML Configuration ci siano i riferimenti alla mia infrastruttura UAG pubblica.

 

Scarico il file XML con i metadata da utilizzare per configurare l’UAG

Importo il file XML nella infrastruttura UAG nelle configurazioni manuali in Identity Bridging Settings

 

Importo il file XML contenente i metadata selezionado Select

 

Una volta caricato sull’UAG il file XML con i metadata vado negli edge service settings ed entro nei nelle configurazioni

E configuro l’Auth Methods e l’identity Provider (che mi compare in automatico dopo aver caricato il file XML)

 

A questo punto posso procedere ad accedere e testare l’accesso con MFA.

Azure Load Balancer Change SKU (Basic to Standard)

For increise SLA  I need to change Azure LoadBalancer SKU,

Azure LB Basic don't have SLA, different is for Standard SKU. 

Don't is possibile to change the sku with a upgrade, the only solution is create a new LoadBalancer (Standard)  e  configure it with the configuration of old LoadBalancer (Basic).

Luckily Microsoft have release a procedure for made it. 

https://docs.microsoft.com/en-us/azure/load-balancer/upgrade-basic-standard

We need check if our LoadBalancer is Public or Internal (No Outbound or With Outbound)

For any choose we have a script to use. Very easy. 

What are the steps of the script?

1- Save and change (with new free IPs) the frontend IPs of Basic LoadBalancer (the script support only 5 Frontend IPs, for more IPs you manually pass the IPs)

2- Create a new Standard LoadBalancer with the configuration of basic loadbalancer  (Frontend IP, Probe ecc..)

3- Migrate the backend pool 

In my upgrade we have been  a ten minutes of downtime.

AKS - Aggiornamento in arrivo a inzio Luglio

Come ogni 3 Mesi sono in arrivo degli aggiornamenti per il servio AKS (Azure Kubernetes Services):

• Nuova versione la 1.17  disponibile dal 1 Luglio (Sempre da quella data non saranno più in supporto le versioni 1.14)
• L'annuncio che a breve verranno rilasciati i nodi AKS con ubuntu 18.04 (Una volta rilasciata la nuova versione dei nodi tutti i successivi aggiornamenti di AKS si porteranno dietro anche l'aggiornamento di versione di Ubuntu)

Tutti i dettagli in questo link

Horizon Cloud on Azure 1 di 5

Attualmente è disponibile la possibilità di utilizzare una  trial della soluziona Horizon Cloud di VMware su cloud AZURE. 

La trial è disponibile per 90 giorni (prima del covid-19 erano meno estesa). 

Per procedere nell'utilizzo della trial è necessario eseguire una serie di semplici step:

1. Acquire Horizon Cloud Service on Microsoft Azure
2. Prepare Microsoft Networking and AD
3. Azure Deploy Horizon Cloud Service On Microsoft Azure 
4. Deploy Microsoft Azure-Based RDS Host and VDI Desktop 
5. Install Applications and Assign Users 

Procediamo con ordine e partiamo da Acquire Horizon Cloud Service on Microsft Azure  dove:

- Attiviamo le licenze Trial e gli step che consiglio sono:

• Crearsi un account GMAIL 
• Registrarsi al sito  MyVMware con il nuovo account GMAIL 
• Compilare l'apposito FORM (Request Form-Horizon Universal License Free Trial*)

       Le credenziali create per accedere MyVMware saranno anche quelle che ci permetteranno l'accesso al portale https://cloud.horizon.vmware.com

Nell'apposito FORM verrà richiesto:

- Tipologia di trial (Azure, On-Premises, AWS, Azure VMware Solutions, Google Cloud VMware Engine)

- Numero e tipologia (Concurrent o user) delle licenze Horizon Universal 

- Location della VMware Horizon Panel (America, Europa ecc..)

- Azure Region del deploy dell'ambiente 

- Utilizziamo una Microsoft Azure Subscription 

 Dal portale azure attiviamo la nostra Subscription dove andremo a crare i servizi necessarei per il deploy dei componenti (Horizon, VM ecc)

*Horizon Universal License sono le nuove licenze Horizon che posso essere utilizzate sia per ambienti on-premises o su cloud

AKS upgrade come verificare se dobbiamo aggiornare

Cluster Kubernetes, ormai sappiamo tutti di che cosa stiamo parlando.

Questa tipologia di cluster possiamo trovarla in tanti ambienti.. Cloud o on-prem, su VMware ecc.

Come tutte le infrastrutture si devono però mantenere ed è molto importante tenerle aggiornate ...anche sotto questo aspetto l'idea del “funziona e quindi perchè aggiornarla” è ormai obsoleta.

 

Mi è capitato ultimamente di confrontarmi con la soluzione AKS (Azure Kubernetes Services) ed essendo un servizio PaaS  è necessario rimanere al passo delle versioni che Microsoft rilascia per il suo cloud.

 

Quindi entriamo nel dettaglio:

 

Ogni 3 mesi vengono rilasciate delle versioni minori (La struttura  d[major].[minor].[patch])  e l’attuale 1.16.x è stata rilasciata a Marzo  2020 per cui:

·         La 1.17 mi aspetto che venga rilasciata a Giugno 2020

·         La 1.18 mi aspetto che venga rilasciata a Settembre 2020

Per verificare che versioni sono disponibili nella region su cui abbiamo il nostro cluster  il comando è il seguente:

 

   az aks get -versions --location <Region>  --output table

 

 

 

 

Se ad esempio la nostra infrastruttura è alla versione 1.15.7 e posso verificarlo con il seguente comando:

 

   az aks get-upgrades --resource-group  <Resource Group>  --name <nome del cluster AKS> --output table

 

 

Per la regola del N-2 la nostra versione va fuori supporto a Settembre 2020

 

A settembre come detto esce la 1.18, la regola del N-2 si applicata alla minor e quinti 18-2 = 16  quindi fino alla 1.16  siamo in supporto per quelle precedenti ( per cui la 1.15) siamo fuori supporto.

 

Per aggiornare una infrastruttura AKS  da  una versione fuori supporto a una in supporto.....  bisogna reinstallare il nostro cluster !

 

Veeam Backup for Microsoft Azure

Veeam ha rilasciato  una soluzione di backup per proteggere  le Microsoft Azure VM ,  gli aspetti interessanti della soluzione sono:

·       Gratuita fino a proteggere 10 Azure VM

·       integrazione con le snapshot di Azure

·       La possibilità di avere un stima dei costi  relativamente allo spazio dei container dell'Azure Storage Account  in base alla VM da Proteggere e alla policy implementata.

 

La  virtual appliance è disponbiile nel MarketPlace di Azure

 

 

 

L'installazione, come tutte le soluzioni Veeam e le infrastrutture Azure sono deployate e configurabili veramente in breve tempo  sopo 15 minuti (Deploy e configurazione) siamo pronti a eseguire il primo backup.

 

Alcune considerazione relativamente all'installazione:

·      Necessità di tutte le informazioni  che richiedere un deploy di una Azure VM (vNet, Resource Group ecc.)

·       Richieste un' Azure Storage Account su cui andare ad salvare i dati dei backup.

 

Aclune considerazioni relative all'implementazione delle policy di backup

·     Differenzazione tra retention per  Snapshot e per Backup 

·     Come la versione di Veeam Backup & Replication v10  oltre al numero di versioni per i backup è presente anche la retention per numero di giorni

·      Come anticipavo precedentemente è possibile sapere in anticipo i costi di utilizzo dell'infrastruttura Azure per lo spazio relativo ai backup (Il costo della Azure VM di Veeam Backup for MIcrosoft Azure è quello del size della VM scelto durante il deploy)

 

 

 

Azure SQL server - Database copy

Alla fine del 2019 ho postato nel Blog alcune indicazioni come effettaure un allineamento di un Azure SQL DB da un ambiente di Sviluppo a un ambiente di Produzione, a quel tempo (si sembra passato molto tempo..) avevo utilizzato il bpac.

In questi giorni ho dovuto eseguire la stessa attività su un'altro cliente (DB di Produzione  su DB di Dev su azure SQL server differenti  anche in sottoscrizioni Azure differenti) in questo caso ho provato un comando T-SQL. 

Il comando è:

CREATE DATABASE <nome del DB nella Destinazione> AS COPY <nome Azure SQL server> .<nome del DB sorgente>

Nel dettaglio sono necessarie alcune attività propedeutiche di annotazione e permessi:

- Sul server di destinazione la presenza di una security con Username e Password uguali al DB owner del DB sorgente. (con permessi sull'Azure SQL di destinazione di DBmanager e loginmanager)

- Memorizzare le security del DB di destinazione che andremo a rimuovere 

- Avere un Sql Server Management Studio (SSMS) installato su un client che può accedere ad entrambi gli Azure SQL Server (Ricordarsi di abilitare l'accesso sul firewall dell'Azure SQL server)

Se abbiamo fatto tutte le attività propedeutiche procediamo:

- Accesiamo via SSMS all' Azure SQL server di destinazione con l'utente comune ai due Server SQL.

- Lanciamo il comando T-SQL:

CREATE DATABASE <nome del DB nella Destinazione> AS COPY <nome Azure SQL server> .<nome del DB sorgente>

  attenzione:

•  ricordiamoci che il nome dell'Azure SQL server necessita solamente dell'hostname e se abbiamo caratteri particola nel nome (come un meno) di includerlo in "". Es. "server-sql-azure-01".<nome DB>
• conviene, caso di una sostituzione di un DB esistente sulla destinazione, copiarno con un nome differente es <nome DB>NEW e poi procedere in un secondo momento con la rimozione del vecchio DB e la rinomina del nuovo.

al termine avremo il nuovo DB

- Modifichiamo l'owner del DB 

ALTER AUTHORIZATION ON DATABASE::<nome DB> to <nuovo Owner>;

- Rimuoviamo eventuali permessi dell'infrastruttura sorgente.

- Assegniamo al DB i permessi degli utenti (che se abbiamo fatto le azioni propedeutiche ci siamo segnati, oppure se siamo stati furbi possiamo recuperarli dal DB che non abbiamo ancora cancellato)

- Rinominiamo il DB con il nome definitivo

- Cancelliamo la login che avevamo creato  per procedere alla copia (ovviamente solo dal server di destinazione)

Attenzione !!! Ricordiamoci  se presente un backup ( NON MI DITE CHE NON FATE I BACKUP DEI DB ...) di andare ad assegnare la policy  che preferite. 

Questo è tutto!!!

Riferimenti Microsoft 

Powershell command per recuperare una secret da Azure KeyVault

Connect-AzAccount -TenantId <ID tenant>

(Get-AzKeyVaultSecret -vaultName "Name" -name "utente").SecretValueText

Allineamento Azure SQL DB

Lavorando con i servizi Azure SQL Server/Azure SQL DB e ambienti di DEV/QTY/PRD può capitare la necessità di allineare i dati e le struttura dei DB.

Ho provato due scenari di ripristino da un file BACPAC:

• Portale Azure 
• SqlPackage.exe

Per la mia esperienza consiglio l'utilizzo di SqlPackage.exe il motivo principale è che in questa maniera non dovrete:

1. Dipendere da quanti utenti stanno eseguendo procedure di importazione DB nella vostra region.
2. Se utilizzare, come spero, i servizi Firewall inclusi sugli azure sql server non avrete necessità di abilitare l'accesso da indirizzi IP "sconosciuti"
3. Non avrete limiti di dimensione del DB che volete importare.

Come funziona l'importazione da Portale Azure? Qui la guida ufficiale

Prima di procedere è necessario prendere in considerazione questi aspetti:

• Viene messa a disposizione una "Machine" (tutto automatico e trasparente per il sistemista) con al massimo 405GB. Ma per completare l'importazione sarà necessario 3 volte la dimensione del BACPAC che dovete importare. Quindi se la matematica non è un opinione la dimensione massima del file dovrà essere 150GB 
• Può capitarvi un errore simile:

        è necessario abilitare sul firewall del Azure SQL Server di destinazione l'IP evidenziato 

• Può succedere che per caricare un DB di dimensioni ridotte siano necessarie delle ore. Tenete conto che il processo di creazione dipende da quante richieste di importazione nella region sono state effettuate (non solo da voi ma da tutto il mondo), perchè la richiesta viene accodata e poi quando è il vostro turno (ma non è dato di sapere) verrà processata. Come indicato in questo link ufficiale. Se dopo 4 giorni non è stata processata la tua richiesta di import viene cancellata 

Per avviare l'importazione è necessario:

- Caricare il file bacpac su un container su Azure Storage Account 

- Accedere via portale all'azure SQL Server e selezionare la voce:

- Configurare i vari parametri 

- Lanciare l'importazione

Per monitorarla è possibile farlo Import/Export History 

Se vi collegate con SSMS al Azure SQL Server vedrete che il DB viene creato immediatamente, appena parte il job di importazione, ma poi il job rimane in pending e le tabelle e i dati non vengono popolati... il tutto rimane in attesa del proprio turno di importazione 

Come funziona l'importazione da SqlPackage.exe? Qui la guida ufficiale

Avete la necessità di:

• Scaricare il SqlPackage  e installarlo 
• Abilitare una VM  per l'accesso all'azure Sql Server (sempre il discorso del Firewall), ma in teoria una VM di Management dovreste già averla..

- Da powershell dovete utilizzare il seguente comando:

.\SqlPackage.exe /a:Import /sf:<percorso-del-bcapac> /tsn:<Azure SQL Server> /tdn:<Nome del DB> /tu:<Account> /tp:<Password> /p:DatabaseEdition=<Standard/basic ecc> /p:DatabaseServiceObjective=<es. S2>

Il comando se il DB non esiste lo crea ...

Al termine di entrambi i processi ricordatevi di:

- Eliminare le credenziali sql non necessarie

- Dare i permessi alle credenziali sql necessarie

-Sistemare i backup 

Modifica delle Firewall Rule su Azure SQL Server

ATTENZIONE:
"The PowerShell Azure Resource Manager module is still supported by Azure SQL Database, but all development is now for the Az.Sql module"

Per cui la prima cosa da fare è iniziare ad abbandonare Powershell Azure Resource Manager.... poi:

- Login al tenant dove sono allocati gli Azure SQL Server 

Login-AzAccount -Tenant <ID>

- Esportare le regole in CSV per poi creare i comandi in maniera rapida editando il file XLS 

Get-AzSqlServer | Get-AzSqlServerFirewallRule | Select-Object -Property ResourceGroupName,ServerName,StartIpAddress,EndIpAddress,FirewallRuleName | Export-Csv -Path C:\temp\AzureSQLServerFirewall.csv -NoTypeInformation

- Modificare le regole 

Rimuovere una regola 

Remove-AzSqlServerFirewallRule -ResourceGroupName <Name> -ServerName <Azure SQL Server> -FirewallRuleName <RuleName>

Aggiungere una regola 


New-AzSqlServerFirewallRule -ResourceGroupName <Name> -ServerName <Azure SQL Server> -FirewallRuleName <Rule Name> -StartIpAddress <IP> -EndIpAddress <IP>

Upgrade AKS

Nei prossimi giorni ....Upgrade AKS

https://docs.microsoft.com/en-us/azure/aks/upgrade-cluster

Migrare su Azure un SQL DB - From SQL Server to Azure SQL Server

Test utilizzando bacpac direttamente da SQL Studio, errore:

"La creazione del bacpac fallisce, il motivo sembra essere la presenza degli utenti di dominio nelle security. Error SQL71627 SQL Server bacpac migrate to Azure SQL Server. "

Provo con il tool Data migration Assitant. Operazione completata con successo (non ha importato le utenze collegate ad AD)

*Attenzione sull'Azure Sql server il database di destinazione deve essere già presente.

1. Si seleziona il sorgente
2. Si seleziona il destinatario (Su azure)

3. SI seleziona quali oggetti importare

4. Si applica sull'Azure SQL DB  destinatario lo script di creazione
5. Si seleziona le tabelle da importare

6. Si da l'avvio all'importazione

 e si verifica l'esito:

Azure SQL Database (PaaS) e creazione utenti

Durante l'implementazione del servizio Azure SQL Server (PaaS)  e dei relativi Azure Sql Database (PaaS) viene rischiesto di creare un utente amministratore del Azure SQL server e di conseguenza dei DB in esso ospitato.

Nell'eventualità di creare utenti specifici per i DB (come db_owner, solo lettura ecc.) la procedura è differente rispetto una installazione di Microsoft SQL server on-prem.

Di seguito i comandi T-SQL per la creazione di:
- Utente login su Azure SQL server
- Utente su DB
-Assegnazione permessi
- Verifica dei permessi




##Creazione Login 

CREATE LOGIN  <utente>

WITH PASSWORD = '<password> 

GO

###Creazione utente sul DB 

CREATE USER <utente>

FOR LOGIN <utente>

WITH DEFAULT_SCHEMA = dbo

GO

## Assegnazione del ruolo sul DB 

ALTER ROLE db_owner ADD MEMBER [<utente>];

###Verificare users e permessi

select @@ServerName [Server Name], DB_NAME() [DB Name], u.name [DB Role], u2.name [Member Name]

    from sys.database_role_members m

    join sys.database_principals u on m.role_principal_id = u.principal_id

    join sys.database_principals u2 on m.member_principal_id = u2.principal_id

    where u.name = 'db_owner'

    order by [Member Name]

Azure VMware Solution (AVS)

Da alcuni mesi è disponibile nei site EAST US e WEST US il servizio Azure VMware Solution (AVS) in collaborazione con CloudSimple.

Il servizio permette di avere una infrastruttura VMware su cloud Azure. 

Alcune caratteristiche sono:

- La possibilità di gestire le VM dal vSphere Web Client senza dover cambiare la user experience  generata negli anni utilizzando gli strumenti di gestione di VMware.

- La possibilità di migrare le VM da on-prem to cloud

- La possibilità di gestire le VM dal portale Azure.

- La possibilità di integrare altri servizi Azure con le VM implementate su AVS (Ad esempio utilizzare l'Azure Application Gateway) 

Vi propongo questo video molto interessante un cui sono descritte alcune funzionalita:

Copy Container da un Azure Container Registry (ACR) a un'altro

Necessario un client docker da utilizzare come ponte.

Nel mio caso ho utilizzato un client Ubuntu 18.04 con il componente docker installato.

Step 1 - Loggarsi al ACR sorgente

docker login --username <username ACR sorgente> -- password <una delle due stringhe di connessione> <nome pubblico dell'ACR> 

Step 2 - Loggarsi al ACR Target

Comando precedente utilizzando le info dell'ACR Target

Step 3 - Scaricarsi le immagini

docker pull <nome dell'immagine>

Step 4 - Effettuare un re-TAG

docker tag <immagine ACR sorgente> <immagine ACR Taget>

Step 5 - Caricare le immagini

docker pull <immagine ACR Target>

Log Analytic and web application

Query for search site blocked from WAF

search in (AzureDiagnostics) ResourceType == "APPLICATIONGATEWAYS" '
| where action_s == "Blocked" | sort by TimeGenerated desc